ASP.NET C#如何修复PUT请求CORS错误MethodDisallowedByPreflightResponse

这个错误的核心成因是ASP.NET Core服务端的CORS逻辑没有对PUT请求完成预检放行，和你在DevTools里观察到的“预检报文无允许请求方法相关标识”的现象完全匹配——GET、POST属于兼容性更高的请求类型，只有PUT触发错误就意味着配置环节漏了对应规则。

1. 排查CORS策略的方法白名单配置 #

• 这是最高发的触发原因：配置CORS策略时只显式声明了允许GET、POST，遗漏了PUT方法。
• 定位代码位置：打开Program.cs或Startup.cs中注册CORS策略的代码段，检查WithMethods()的参数列表：

  // 常见错误配置：仅允许GET、POST
  builder.Services.AddCors(options =>
  {
      options.AddPolicy("FrontendCors", policy =>
      {
          policy.WithOrigins("你的前端正式域名/本地开发地址")
                .WithMethods("GET", "POST") // 此处遗漏PUT，直接触发预检拦截
                .AllowAnyHeader()
                .AllowCredentials();
      });
  });
  

• 修正方式：在WithMethods()参数中显式加入PUT（按需补充DELETE等其他用到的方法）：

  .WithMethods("GET", "POST", "PUT", "DELETE")
  

• 注意：就算你用了AllowAnyMethod()，也要确认代码没有走自定义白名单的分支，很多人写配置时先定义了白名单方法，后续加了AllowAnyMethod()但因为代码优先级问题，实际生效的还是之前的白名单。

2. 核对CORS中间件的管道顺序 #

• 顺序错误是第二高发原因：CORS中间件如果放在MapControllers()、UseAuthorization()之后，预检的OPTIONS请求会直接被路由到控制器层，因为控制器本身不处理OPTIONS请求，会返回不带任何CORS响应头的405状态，浏览器自然会判定预检失败、报方法不允许的错误。
• 正确的中间件调用顺序必须严格遵循：

  app.UseRouting(); // 第一步：完成路由匹配
  app.UseCors("FrontendCors"); // 第二步：紧跟路由注册CORS中间件，优先处理预检请求
  app.UseAuthentication(); // 第三步：处理身份认证
  app.UseAuthorization(); // 第四步：处理权限校验
  app.MapControllers(); // 最后：映射控制器接口
  

• 配置完成后可以直接在DevTools中查看OPTIONS预检请求的响应头，如果能看到Access-Control-Allow-Methods字段明确列出PUT，说明中间件顺序正确。

3. 排查链路中额外的请求方法拦截 #

• 检查全局请求过滤器、自定义中间件是否存在仅放行GET/POST的逻辑，是否遗漏PUT请求的放行规则。
• 检查反向代理层（IIS、Nginx、应用网关）的配置，是否存在禁用PUT请求的规则，导致请求根本没到达ASP.NET Core应用就被拦截，返回不带CORS头的错误响应。
• 检查对应接口的路由配置，确认PUT请求的路由路径匹配正确，没有错配到不支持PUT方法的接口路由上。

内容的提问来源于stack exchange，提问作者Sheldonfrith