GenHTTP配置宽松CORS策略后带Authorization头请求仍跨域失败

这个报错核心和GenHTTP的CORS默认实现逻辑、CORS规范的强校验规则直接相关：

1. 你使用的CorsPolicy.Permissive()默认宽松策略，仅会对OPTIONS预检请求注入CORS相关响应头，不会对OPTIONS之外的普通业务请求（比如你触发报错的GET请求）响应添加CORS头。不带Authorization头的请求能正常访问，是因为这类请求属于简单跨域请求，不会触发预检流程，框架不会做额外拦截；但带Authorization头的请求属于需要预检的非简单请求，预检通过后浏览器会强制校验正式GET响应的CORS头，这时候响应里缺少对应CORS头就会直接拦截报错。
2. 你当前的预检响应同时携带了Access-Control-Allow-Credentials: true和Access-Control-Allow-Headers: *、Access-Control-Allow-Methods: *，按照CORS规范要求，当开启凭证允许模式时，通配符*在这几个头中属于无效值，浏览器不会认可通配符匹配结果，尤其是你携带的Authorization属于需要显式声明允许的请求头，通配符配置不会对它生效。

按以下步骤调整配置即可解决：

• 弃用默认的Permissive()策略，手动自定义CORS规则，不要使用通配符声明允许的请求头、请求方法，显式把Authorization加入允许头列表
• 将CORS策略注册为全局响应拦截器，保证所有HTTP方法（包括GET、POST、PUT、DELETE以及OPTIONS）的响应都会携带正确的CORS头，不要仅在局部路由内注册CORS规则

参考配置代码：

// 自定义CORS策略
var corsPolicy = CorsPolicy.Create(
    allowOrigins: new[] { "http://localhost:55309" }, // 生产环境替换为实际允许的源列表，不建议全量匹配
    allowMethods: new[] { "GET", "POST", "PUT", "DELETE", "OPTIONS" },
    allowHeaders: new[] { "Authorization", "Content-Type", "Accept", "X-Requested-With" },
    allowCredentials: true,
    exposeHeaders: new[] { "Content-Disposition", "X-Pagination" } // 按需配置需要暴露给前端的自定义响应头
);

// 全局注册CORS策略，确保所有响应都经过CORS处理
var server = Server.Create()
    // 保留你原有的服务、路由注册配置
    .Add(corsPolicy)
    .Build();

• 额外排查项：你的请求路径包含双斜杠/api/v1//metadata，建议先修正路径避免路由匹配异常。如果服务端对该GET请求返回了401、404、500类错误，且错误响应没有携带CORS头，浏览器会统一抛出CORS错误而非展示真实错误码，可以先查看服务端访问日志确认GET请求是否被正常处理。

内容的提问来源于stack exchange，提问作者Archeg