Azure APIM预请求/GET返回200空响应 axios请求CORS报错如何解决

根因说明 #

Azure APIM的策略执行遵循两个核心规则，直接导致了你遇到的问题：

1. <base />标签的作用是继承并执行上层（全局/产品级）对应阶段的所有策略，执行顺序由<base />在当前阶段的位置决定：你在单API入站策略第一行放了<base />，就会先跑完全局入站的所有策略，再跑单API的入站策略。
2. APIM的CORS策略是首次匹配即终止校验：全局CORS策略仅允许https://other-host-than-the-one-i-need.net域名，你的请求Origin是https://test-vue-frontend.io，不满足全局CORS的允许源规则，APIM会直接判定CORS校验失败，不会再执行你在单API层面配置的CORS规则，直接返回缺少CORS头的响应。

对应的错误表现也和这个逻辑完全吻合：

• POST请求的OPTIONS预请求，在全局CORS校验失败后，APIM会直接返回200空响应，不会走到后续单API策略，所以你看到预请求状态码正常但没有CORS头。
• GET请求没有预请求，直接触发CORS校验失败，报缺少Access-Control-Allow-Origin头的错误。
• 你在出站段额外配置的CORS头完全不生效，是因为入站CORS校验失败后，请求直接被APIM拦截返回，根本不会走到后端转发和出站策略执行阶段。
• 直接在浏览器地址栏输入接口可以正常访问，是因为地址栏访问不属于跨域XMLHttpRequest请求，不会触发CORS校验。

移除<base />后恢复正常的原因 #

移除入站、出站段的<base />标签后，单API不再继承全局的策略，直接执行你在单API层面配置的CORS规则，Origin匹配到https://test-vue-frontend.io，校验通过，后续策略正常执行，CORS头也能正常返回。

优化建议 #

如果需要保留全局其他策略的继承能力，不需要完全移除<base />，可以做如下调整：

• 把单API入站的CORS策略放到<base />的前面，让单API的CORS规则先执行，匹配成功后就不会触发全局CORS的校验逻辑
• 在单API的<cors>标签上补加allow-credentials="true"属性，和你出站配置的Access-Control-Allow-Credentials: true对齐，避免带Authorization头的请求二次报错

内容的提问来源于stack exchange，提问作者Axelle