ASP.NET Core Web API生产环境配置CORS仍遇跨域拦截问题

你的CORS策略配置本身没有错误，问题出在ASP.NET Core中间件的注册顺序上。

• 你提到所有走DataTables的API接口都能正常跨域调用，是因为这类请求会进入MVC控制器管道，会经过CORS中间件的处理，自动加上跨域响应头。
• 你请求的/documents/test.pdf属于静态文件，默认由UseStaticFiles()中间件直接处理返回，不会进入控制器逻辑。如果你的UseCors()注册位置在UseStaticFiles()之后，静态文件请求在到达CORS中间件之前就已经被处理并返回响应，自然不会带上Access-Control-Allow-Origin头，触发跨域报错。

修复步骤 #

调整Startup.Configure方法中的中间件注册顺序，必须将UseCors()放在UseStaticFiles()之前，参考正确的顺序配置：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    if (env.IsProduction())
    {
        app.UseHsts();
    }
    app.UseHttpsRedirection();

    // CORS中间件放在静态文件中间件之前
    app.UseCors(x => x
        .AllowAnyOrigin()
        .AllowAnyMethod()
        .AllowAnyHeader());

    // 静态文件中间件在CORS之后，返回的静态文件响应会自动带上CORS头
    app.UseStaticFiles();

    app.UseRouting();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

额外排查点 #

如果调整顺序后问题仍然存在：

1. 打开浏览器开发者工具，查看失败PDF请求的响应内容和响应头，如果响应是4xx/5xx错误且完全没有CORS相关头，说明有其他前置逻辑（比如自定义权限校验中间件、服务器WAF规则、IIS静态文件处理模块）提前拦截了该路径的请求，直接返回了错误响应。
2. 确认你的/documents路径没有配置特殊的静态文件授权规则，避免未授权请求被提前拦截。

等两个站点统一托管到同域下后，建议移除当前宽松的全放行CORS配置，避免不必要的安全风险。

内容的提问来源于stack exchange，提问作者Pistone Sanjama