JavaScript调用.NET 6 Minimal API遇到CORS策略拦截问题如何解决？

1. 修正CORS Origin配置错误 #

CORS的Origin校验仅识别「协议+域名+端口」，不包含路径，你配置里的https://localhost:7252/v1/todos属于无效配置，直接删除即可。

2. 检查中间件顺序 #

.NET 6+ Minimal API的中间件执行顺序严格，UseCors()必须放在UseRouting()之后、UseAuthorization()之前，放错位置会导致CORS完全不生效，正确顺序参考下文代码示例。

3. 处理null Origin问题 #

报错里的origin 'null'是因为你直接用file://协议打开本地HTML文件导致的，有两种解决方式：

• 推荐：用本地Web服务托管前端页面，比如VS Code的Live Server插件，启动后Origin会变成http://localhost:5500这类格式，把这个Origin加到WithOrigins里即可
• 本地临时测试：在CORS配置里加SetIsOriginAllowed(origin => origin == "null")，生产环境务必删除该配置

4. 补全CORS允许规则 #

默认CORS配置仅放行Origin，还需要显式允许请求方法、请求头，否则带自定义头/非GET请求会被拦截。

.NET API Program.cs 配置 #

builder.Services.AddCors(options => options.AddDefaultPolicy(policy => 
{ 
    policy.WithOrigins("https://localhost:7252", "http://localhost:5500") // 替换为你前端实际的Origin
          .SetIsOriginAllowed(origin => origin == "null") // 仅本地打开html文件测试用，生产删除
          .AllowAnyMethod() // 允许所有请求方法：GET/POST/PUT/DELETE等
          .AllowAnyHeader(); // 允许所有请求头
          // .AllowCredentials(); // 跨域需要传Cookie、Authorization头时再加
}));

var app = builder.Build();

app.UseHttpsRedirection();
app.UseRouting();

// 必须放在UseRouting之后、UseAuthorization之前
app.UseCors();

app.UseAuthorization();

// 你的Minimal API路由映射写在这里
app.MapGet("/v1/todos", () =>
{
    return new[] { "Todo1", "Todo2" };
});

app.Run();

可选临时前端配置（不推荐长期使用） #

如果只是临时测试不需要拿到响应内容，可以给fetch添加no-cors模式，绕过浏览器CORS校验，但该模式下无法读取响应内容：

fetch('https://localhost:7252/v1/todos', { mode: 'no-cors' })
    .then(response => console.log('仅能确认请求发送成功，无法读响应内容'))

打开浏览器F12开发者工具的「网络」面板，找到请求对应的OPTIONS预检请求，查看响应头是否存在Access-Control-Allow-Origin字段：

• 不存在：服务端CORS配置未生效，优先排查中间件顺序、Origin配置是否正确
• 存在但值和当前页面Origin不匹配：核对WithOrigins里填的Origin是否和页面实际Origin完全一致（协议、端口都不能错）

内容的提问来源于stack exchange，提问作者Assis Zang