为何ASP.NET Core Web API的POST请求源自浏览器IP而非服务器IP？

嘿，这个问题我之前碰到过类似场景，核心差异在于请求发起的主体不同，咱们拆解来看：

为什么GET和POST的请求来源不一样？ #

• 你的GET请求，应该是通过公网IIS服务器代理中转的：浏览器先把请求发给公网IIS应用，再由IIS服务器作为客户端去调用内网的ASP.NET Core API。所以内网API收到的请求来源是公网服务器的IP，自然能正常访问。
• 而POST请求的配置肯定是前端jQuery Ajax直接指向了内网API的地址，这时候请求是浏览器直接发起的——浏览器在公网，根本没法穿透防火墙访问内网服务器，加上跨域的OPTIONS预检请求也被拦截，直接失败。

为什么会出现这种配置差异？ #

大概率是前端代码里的请求URL配置不一致：

• 比如GET请求写的是公网应用的后端中转接口（比如/api/proxy/getList），由后端去对接内网API；
• 但POST请求直接硬编码了内网API的地址（比如http://192.168.x.x:5000/api/submit），导致浏览器跳过公网服务器，直接发起跨域请求。

解决思路（推荐第一种） #

方案一：统一通过公网服务器中转所有请求 #

把POST请求也改成先发给公网IIS的中转接口，再由服务器端去调用内网API。这样所有请求的来源都是公网服务器IP，既不会有跨域问题，也能保证内网API的安全性。
举个简单的C#中转示例（IIS应用的后端）：

[HttpPost]
public async Task<IActionResult> ProxyPost()
{
    using var client = new HttpClient();
    var requestContent = await new StreamReader(Request.Body).ReadToEndAsync();
    var response = await client.PostAsync("http://内网API地址/api/目标接口", 
        new StringContent(requestContent, Encoding.UTF8, "application/json"));
    var responseContent = await response.Content.ReadAsStringAsync();
    return Content(responseContent, response.Content.Headers.ContentType.MediaType);
}

前端只要把POST请求的URL改成这个中转接口的地址就行。

方案二：开放内网API的公网访问（不推荐） #

如果非要让浏览器直接调用内网API，就得做两步，但风险很高：

• 在防火墙配置端口映射，允许公网IP访问内网API的端口；
• 在内网ASP.NET Core API中配置CORS策略，允许公网应用的域名发起跨域请求，并且处理OPTIONS预检请求：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowPublicDomain", policy =>
    {
        policy.WithOrigins("http://你的公网应用域名")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials();
    });
});
app.UseCors("AllowPublicDomain");

但这种方式等于把内网API暴露给公网，会带来很大的安全隐患，除非你有严格的身份验证和权限控制。

内容的提问来源于stack exchange，提问作者Andy B