使用OIDC对接授权服务器时Swagger授权失败提示缺失CORS头

你贴出的Swashbuckle配置本身完全符合OpenAPI OIDC规范，没有逻辑错误。出现这个CORS报错的核心原因是：Swagger UI的所有OIDC交互请求都是从用户浏览器直接发起的，你配置的authority对应的OIDC授权服务器，没有把你当前Swagger UI的访问源加入跨域允许列表。

根据你是否能控制OIDC授权服务器的配置，对应修复即可：

• 如果你可以修改OIDC授权服务器配置（比如自己用IdentityServer/Duende IdentityServer搭建的授权服务）：
  1. 在授权服务器的CORS策略中，加入Swagger UI的访问源：本地调试时填你本地API的访问地址（比如https://localhost:5000），生产环境填API的公网域名
  2. 如果你用的是IdentityServer系框架，还要把上述源添加到Swagger对应客户端配置的AllowedCorsOrigins项中，框架默认不会放开元数据、令牌端点的跨域权限
• 如果你无法修改OIDC授权服务器配置（比如对接第三方公共OIDC平台）：
  1. 先在你的API项目中补全CORS基础配置，注意CORS中间件必须放在UseSwagger、UseSwaggerUI之前：

     // Program.cs服务注册阶段添加
     services.AddCors(opts =>
     {
         opts.AddDefaultPolicy(policy =>
         {
             policy.AllowAnyOrigin()
                   .AllowAnyHeader()
                   .AllowAnyMethod();
         });
     });
     
     // 中间件管道最开头，在路由、Swagger相关中间件之前添加
     app.UseCors();
     

  2. 在你的API项目中加一个代理接口，服务端转发请求到OIDC的.well-known/openid-configuration端点，再把之前AddSecurityDefinition里的OpenIdConnectUrl改成你自己的这个代理接口地址，绕开浏览器的跨域校验。

别浪费时间改SwaggerGen或者SwaggerUI的OIDC相关参数，这些配置只控制生成的OpenAPI结构和UI交互逻辑，不会改变浏览器跨域请求的校验规则。

内容的提问来源于stack exchange，提问作者anatol