生产环境下如何安全配置CORS？跨域RESTful集成问题

我来帮你一步步搞定这个问题——你的核心痛点是既要解决跨域PUT请求失败的问题，又要避免通配符*带来的安全风险，确保只有你方的Cordova/Angular客户端能访问服务器接口。下面是具体的实现方案：

1. 先解决基础CORS启用（针对.NET Framework 4.6.1） #

.NET Framework 4.6.1原生支持CORS，推荐用官方的Microsoft.AspNet.Cors NuGet包来配置，比手动加响应头更可靠，还能自动处理OPTIONS预检请求（这是PUT等非GET请求跨域必须的）。

步骤1：安装NuGet包 #

打开Package Manager Console，运行：

Install-Package Microsoft.AspNet.Cors

步骤2：全局配置CORS（推荐） #

在Global.asax的Application_Start方法里添加CORS策略配置，这里可以精准控制允许的来源、方法和头：

protected void Application_Start()
{
    // 保留你原有的其他配置（如路由、MVC初始化等）
    
    // 定义CORS策略
    var corsPolicy = new CorsPolicy
    {
        AllowAnyMethod = true, // 允许所有HTTP方法（GET/PUT/POST等）
        AllowAnyHeader = true, // 允许所有请求头
        SupportsCredentials = true, // 如果你的登录接口需要携带Cookie/认证信息，必须设为true
        // 只允许你方客户端的来源，不要用*！
        Origins = { 
            "http://localhost:4400", // 开发环境Cordova的地址
            "file://" // 生产环境Cordova的file://协议
            // 如果你的客户端有其他域名，也可以加在这里，比如"https://your-app-domain.com"
        }
    };

    // 启用全局CORS
    GlobalConfiguration.Configuration.EnableCors(new CorsPolicyProvider
    {
        PolicyResolver = context => Task.FromResult(corsPolicy)
    });
}

2. 进阶：添加自定义客户端校验（双重安全） #

仅限制来源还不够——恶意攻击者可以伪造请求头来伪装来源。所以我们可以给客户端请求加一个自定义密钥头，服务器端校验这个密钥的合法性。

客户端（Angular）修改 #

在PUT请求里添加自定义头X-App-Client-Key：

$http({ 
    method: 'Put', 
    url: $rootScope.url + '/Login',
    headers: {
        // 这里的密钥要和服务器端保持一致，建议存在环境变量里，不要硬编码！
        'X-App-Client-Key': 'Your_Secure_Client_Key_Here'
    }
}).then(function successCallback(response) { 
    console.log('登录成功:', response.data);
}, function errorCallback(response) { 
    console.error('登录失败:', response.statusText);
});

服务器端（C#）添加校验过滤器 #

创建一个ActionFilter来校验自定义头：

public class ValidateClientKeyAttribute : ActionFilterAttribute
{
    private const string ClientKeyHeader = "X-App-Client-Key";
    // 推荐把密钥存在Web.config的<appSettings>里，不要硬编码
    private readonly string _validClientKey = ConfigurationManager.AppSettings["ValidClientKey"];

    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        var clientKey = filterContext.HttpContext.Request.Headers[ClientKeyHeader];
        
        // 校验密钥是否存在且合法
        if (string.IsNullOrEmpty(clientKey) || clientKey != _validClientKey)
        {
            filterContext.Result = new HttpStatusCodeResult(HttpStatusCode.Unauthorized, "无效的客户端密钥");
            return;
        }

        base.OnActionExecuting(filterContext);
    }
}

然后把这个过滤器加到你的Login接口上：

[HttpPut]
[AllowAnonymous]
[ValidateClientKey] // 添加校验特性
public async Task<ActionResult> Login() {
    try {
        var result = await SignInManager.PasswordSignInAsync("test3", "1!2@Qa", false, shouldLockout: false);
        return Ok(result); // 不要返回null，返回具体的登录结果更合理
    } catch (Exception ex) {
        // 生产环境不要返回具体异常信息，避免泄露服务器细节
        return StatusCode(HttpStatusCode.InternalServerError, "服务器内部错误");
    }
}

3. 生产环境的关键注意事项 #

• 不要保留localhost来源：上线前把http://localhost:4400从Origins里移除，只保留生产环境的来源（比如file://或者你的自定义域名）。
• 配合HTTPS使用：生产环境一定要用HTTPS，避免请求被劫持，自定义密钥也不会被明文传输。
• Cordova白名单配置：安装cordova-plugin-whitelist插件，在config.xml里配置允许访问你的服务器域名：

  <allow-navigation href="https://your-production-server-domain/*" />
  <allow-intent href="https://your-production-server-domain/*" />
  

• 避免通配符*：永远不要在生产环境用Access-Control-Allow-Origin: *，这会允许任何网站向你的服务器发起请求，风险极高。

为什么之前的PUT请求失败？ #

你看到的xhr_proxy是Cordova开发环境的代理，但根本原因是浏览器的同源策略阻止了跨域PUT请求——PUT属于非简单请求，浏览器会先发送OPTIONS预检请求，服务器如果没有正确响应CORS头，浏览器就会拦截后续的PUT请求。按照上面的配置，服务器会正确处理OPTIONS请求，同时只允许你的客户端来源，问题就能解决。

内容的提问来源于stack exchange，提问作者GomuGomuNoRocket