.NET5 ASP.NET Web API PostMan调用接口未返回CORS响应头求助

• 首先排查Postman测试逻辑问题
  CORS中间件仅在请求携带Origin请求头时才会返回CORS相关响应头，Postman默认不会自动附带该头。你可以手动在Postman请求头中新增Origin字段，值填任意合法域名（如http://localhost:3000）后重新发起请求，即可正常看到CORS响应头。
• 临时放宽CORS策略验证配置有效性
  你当前策略中通过WithHeaders指定了允许的请求头，如果客户端请求包含未被列入的自定义头，CORS中间件会拒绝返回CORS头。可先将策略修改为如下配置测试，确认配置链路是否正常：

services.AddCors(options =>
{
    options.AddPolicy(name: "defaultPolicy",
                      builder =>
                      {
                          builder.AllowAnyOrigin()
                                 .AllowAnyMethod()
                                 .AllowAnyHeader();
                      });
});

验证正常后再根据实际业务需要缩窄头、域名的允许范围，生产环境禁止使用AllowAnyOrigin，需通过WithOrigins明确指定允许的跨域域名。

• 检查中间件执行顺序与前置拦截逻辑
  你当前配置中UseCors放在UseRouting之后、UseAuthorization之前，顺序符合.NET 5的要求无需调整。需要检查是否存在自定义中间件、异常处理逻辑放置在UseCors之前，若这部分逻辑直接返回了响应，会跳过CORS中间件的执行，导致没有CORS头。
• 检查控制器/Action的特殊配置
  确认控制器或对应接口上没有添加[DisableCors]特性，该特性会覆盖全局CORS策略，关闭对应接口的跨域支持。

内容的提问来源于stack exchange，提问作者Frank-Medium