.NET Core发布后调用PUT、DELETE方法出现跨域错误如何解决

解决方案 #

1. 修正中间件排序 #

你的CORS中间件位置错误，放在了身份认证中间件之后。PUT/DELETE属于非简单请求，浏览器会先发送不带身份凭证的OPTIONS预检请求，会被认证中间件直接拦截，无法进入CORS策略校验，导致跨域报错。
修正Configure方法中的中间件顺序，将UseCors放在UseAuthentication之前：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseHsts();
    }
    app.UseHttpsRedirection();
    // CORS中间件必须放在认证、授权类中间件之前
    app.UseCors("corsPolicy");
    app.UseAuthentication();
    app.UseStaticFiles();
    app.UseMvc();
}

2. 修正CORS策略配置 #

AllowAnyOrigin和AllowCredentials不允许同时使用，属于无效配置，会导致CORS策略不生效。根据你的业务需求选择对应配置：

• 如果不需要跨域携带Cookie、认证头等凭证：移除AllowCredentials()
• 如果需要携带凭证：将AllowAnyOrigin替换为WithOrigins指定明确的前端访问域名

services.AddCors(options =>
{
    options.AddPolicy("corsPolicy", builder =>
    {
        builder.AllowAnyHeader()
               .AllowAnyMethod() // 已包含OPTIONS、PUT、DELETE所有请求类型
               .AllowAnyOrigin();
        // 需要携带凭证时改用以下配置
        // builder.WithOrigins("https://你的前端域名1.com", "https://你的前端域名2.com")
        //        .AllowCredentials();
    });
});

3. 处理IIS托管层拦截 #

如果你使用IIS部署项目，IIS默认启用的WebDAV模块会主动拦截PUT、DELETE、OPTIONS请求，本地开发环境使用的Kestrel/IIS Express无此限制所以运行正常，需要在项目根目录的web.config中添加配置移除WebDAV模块：

<system.webServer>
  <modules runAllManagedModulesForAllRequests="false">
    <remove name="WebDAVModule" />
  </modules>
  <handlers>
    <remove name="WebDAV" />
    <remove name="aspNetCore" />
    <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModuleV2" resourceType="Unspecified" />
  </handlers>
</system.webServer>

4. 反向代理配置校验 #

如果你使用Nginx、Apache等反向代理托管.NET Core服务，需要确认代理层配置允许PUT、DELETE、OPTIONS类型的请求访问，不要做额外的谓词拦截。

内容的提问来源于stack exchange，提问作者Noura Ali