JavaScript fetch POST请求FormData大小超限触发CORS错误求助

1. 优先获取服务器真实报错 #

• 打开浏览器控制台「网络」标签，勾选「保留日志」后复现问题，直接查看请求的真实响应状态码，不要仅参考控制台的CORS错误提示：
  • 若返回413：属于请求/字段长度超限类错误
  • 若返回400/404/500：属于服务器参数绑定、业务逻辑抛出异常，错误响应未附加CORS头
• 也可以直接用Postman、curl模拟相同参数的请求，跳过浏览器CORS校验直接拿到完整报错信息，是最快的定位手段

2. 检查ASP.NET Core内置表单字段限制 #

即使没有手动配置特殊大小限制，ASP.NET Core有默认的单表单字段值长度限制，极易被忽略：

• 检查全局FormOptions配置或接口单独加的[RequestFormLimits]特性，默认的ValueLengthLimit虽然为4MB，但若有历史配置修改过该值就会触发超长截断/报错：

// 全局配置示例
services.Configure<FormOptions>(options =>
{
    options.ValueLengthLimit = int.MaxValue; // 按需调整单字段最大允许长度
});

// 接口单独配置示例
[HttpPost("getLocations")]
[RequestFormLimits(ValueLengthLimit = int.MaxValue)]
public IActionResult GetLocations([FromForm] string token)
{
    // 业务逻辑
}

• 若接口使用了模型绑定接收参数，检查对应字段是否加了[StringLength]等校验特性，长度超过阈值会直接返回400错误，且未附加CORS头

3. 检查IIS隐性限制 #

即使未手动配置IIS输入限制，也要检查站点web.config的默认配置：

<configuration>
  <system.webServer>
    <security>
      <requestFiltering>
        <!-- 检查maxAllowedContentLength、表单字段限制配置 -->
        <requestLimits maxAllowedContentLength="30000000" />
      </requestFiltering>
    </security>
  </system.webServer>
  <!-- .NET Core站点也可能被IIS读取system.web配置，检查maxRequestLength值 -->
  <system.web>
    <httpRuntime maxRequestLength="30000" executionTimeout="120" />
  </system.web>
</configuration>

• 额外检查IIS是否安装了WAF、URL重写模块，这类模块会在请求到达ASP.NET Core程序前拦截超长字段请求，直接返回的错误响应不会携带CORS头

4. 检查CORS中间件配置顺序 #

ASP.NET Core中间件执行顺序对CORS生效范围影响极大，如果CORS中间件放在了异常处理、路由、认证中间件之后，前面中间件抛出错误时CORS中间件还未执行，就不会给错误响应加CORS头：

// 正确的中间件执行顺序示例
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    // CORS中间件必须放在UseRouting之后、UseAuthorization之前，且在所有可能返回响应的中间件前面
    app.UseCors("你的CORS策略名称");
    app.UseRouting();
    app.UseAuthorization();
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

5. 检查前置代理/网关限制 #

如果站点前面部署了Nginx、CDN、云WAF等代理服务，检查这类服务的请求体大小、单字段长度限制，网关层直接拦截的请求不会携带后端配置的CORS头，也会触发浏览器CORS报错。

内容的提问来源于stack exchange，提问作者notnot