添加自定义ClientStore后Identity Server 4出现CORS错误求助

这个问题的核心原因是：IdentityServer4默认会基于内存客户端配置自动构建CORS策略，但当你替换为自定义IClientStore时，这个自动配置流程没有被正确触发，导致OpenID配置端点（.well-known/openid-configuration）缺少必要的CORS响应头，从而被浏览器的同源策略拦截。

当你使用AddInMemoryClients时，IdentityServer会自动扫描所有客户端的AllowedCorsOrigins属性，并将这些来源注册到CORS服务中，确保OpenID发现端点等核心接口能被授权的跨域客户端访问。但切换到自定义客户端存储后，这个自动关联逻辑没有默认生效，所以需要手动补充配置。

两种可行的解决方案 #

方案一：手动配置全局CORS策略 #

直接为IdentityServer实例添加明确的CORS策略，指定你的JavaScript客户端地址：

在ConfigureServices方法中添加CORS配置：

builder.Services.AddCors(options =>
{
    options.AddPolicy("IS4CorsPolicy", policy =>
    {
        // 替换为你的JS客户端实际地址
        policy.WithOrigins("http://localhost:your-js-client-port")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials();
    });
});

然后在Configure方法中，必须在UseIdentityServer()之前启用CORS：

app.UseCors("IS4CorsPolicy");
app.UseIdentityServer();

方案二：复用IdentityServer的默认CORS策略服务 #

如果你希望保持和内存存储时一样的自动逻辑（从客户端配置的AllowedCorsOrigins动态获取允许的来源），可以手动注册DefaultCorsPolicyService，它会自动使用你自定义的IClientStore来获取客户端的跨域配置：

在ConfigureServices中添加：

// 注册默认CORS策略服务，它会依赖你已注册的IClientStore
builder.Services.AddTransient<IdentityServer4.Services.ICorsPolicyService, IdentityServer4.Services.DefaultCorsPolicyService>();

同时要确保你的CustomClientStore正确实现了FindClientByIdAsync方法，并且返回的客户端对象中AllowedCorsOrigins属性包含你的JavaScript客户端地址（和原来Config.GetClients()中的配置一致）。

额外检查点 #

• 确认CustomClientStore返回的客户端数据中，AllowedCorsOrigins没有遗漏JS客户端的地址；
• 确保UseCors的调用顺序在UseIdentityServer之前，否则CORS头无法被正确添加到响应中；
• 测试时可以清空浏览器缓存，避免旧的CORS策略残留影响结果。

内容的提问来源于stack exchange，提问作者Tom Troughton