如何在Ocelot网关中处理CORS策略与预检请求路由问题

浏览器跨域请求发起前会自动发送OPTIONS方法的预检请求，Ocelot默认配置会直接拦截这类请求返回默认响应，不会转发到下游后端服务，因此你在后端服务配置的[EnableCors]策略根本接收不到预检请求，自然跨域校验失败。

二选一即可，优先选第一种，维护成本更低。 #

方案1：网关层统一处理CORS（推荐） #

直接在Ocelot网关层统一返回CORS响应头，不需要转发预检请求到后端，性能更好，也不用每个后端服务重复配置CORS规则：

• 给Ocelot网关项目安装NuGet包Microsoft.AspNetCore.Cors
• 修改服务启动配置（.NET 6+ 为Program.cs，旧版本为Startup.cs），注册CORS策略并调整中间件顺序：

var builder = WebApplication.CreateBuilder(args);

// 注册CORS策略
builder.Services.AddCors(opt =>
{
    opt.AddPolicy("GatewayCors", policy =>
    {
        // 生产环境建议替换AllowAnyOrigin为WithOrigins指定允许的前端域名
        policy.AllowAnyOrigin()
              .AllowAnyHeader()
              .AllowAnyMethod(); // 必须放行OPTIONS方法
    });
});

// 加载Ocelot配置
builder.Configuration.AddJsonFile("ocelot.json", optional: false, reloadOnChange: true);
builder.Services.AddOcelot(builder.Configuration);

var app = builder.Build();

// 注意：CORS中间件必须放在Ocelot、认证授权中间件之前
app.UseCors("GatewayCors");
// 其他中间件如UseAuthentication、UseAuthorization放在这之后
await app.UseOcelot();

app.Run();

• 修改ocelot.json路由配置，给所有路由规则添加上OPTIONS方法允许：

{
  "Routes": [
    {
      "DownstreamPathTemplate": "/{url}",
      "DownstreamScheme": "http",
      "DownstreamHostAndPorts": [
        {
          "Host": "your-backend-service-ip",
          "Port": 8080
        }
      ],
      "UpstreamPathTemplate": "/{url}",
      // 必须把OPTIONS加入允许的方法列表
      "UpstreamHttpMethod": [ "GET", "POST", "PUT", "DELETE", "OPTIONS" ]
    }
  ]
}

方案2：转发OPTIONS请求到后端处理 #

如果你需要保留各后端服务独立配置CORS的逻辑，就配置Ocelot把预检请求原样转发给下游服务：

• 同方案1的第三步，先给ocelot.json所有路由的UpstreamHttpMethod加上OPTIONS，确保OPTIONS请求能匹配到路由规则。
• 关闭Ocelot默认拦截OPTIONS请求的逻辑，添加自定义委托处理器：

// 注册Ocelot时挂载自定义处理器
builder.Services.AddOcelot(builder.Configuration)
    .AddDelegatingHandler<PassThroughOptionsHandler>();

自定义处理器实现：

public class PassThroughOptionsHandler : DelegatingHandler
{
    protected override Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        // 不做任何拦截，直接把请求转发到下游
        return base.SendAsync(request, cancellationToken);
    }
}

• 调整后端服务的CORS配置：你当前代码里的[EnableCors]特性只打在POST接口上，OPTIONS请求匹配不到对应路由会返回405，建议把CORS特性提升到Controller层级，或者直接全局注册CORS策略。

注意：选择该方案时不要在网关层添加UseCors中间件，避免网关和后端同时返回CORS头导致重复头冲突。

• 中间件顺序错误：CORS、路由等中间件必须放在UseOcelot之前，否则不会生效
• 认证拦截预检：如果网关开启了全局认证，需要把OPTIONS请求加入白名单，不然预检请求会因为没带token返回401
• 自定义头缺失配置：如果跨域请求带了Authorization这类自定义头，CORS策略必须显式允许对应头，否则预检会失败

内容的提问来源于stack exchange，提问作者Majid Gholipour