.Net Core 3.1项目配置CORS仅允许Oracle主机连接无效问题咨询

首先明确最关键的认知误区：CORS是浏览器端的安全限制，不是服务端的访问控制机制。

为什么配置完CORS后其他主机依然能访问 #

• 只有浏览器发送的跨域请求才会自动携带Origin请求头，CORS中间件才会校验来源并返回对应的响应头
• 所有非浏览器发起的请求（包括Postman调试、curl命令、Oracle服务器用UTL_HTTP/DBMS_HTTP发起的后台调用）都不会携带Origin头，CORS中间件会直接放行，不会做任何来源校验
• 你测试“其他主机可正常访问”如果用的是非浏览器工具，这个现象是完全符合CORS的设计逻辑的，不是配置出错

你当前的CORS配置本身没有问题 #

现有配置的实际生效范围是：

• 只有浏览器发起的、携带Origin: http://oraas1111.net:1001的跨域请求，会被允许
• 其他来源的浏览器跨域请求，服务端依然会正常处理并返回响应，但浏览器会拦截响应、拒绝页面JS读取结果
• 配置里重复的[EnableCors("CorsPolicy")]和endpoints.MapControllers().RequireCors("CorsPolicy")只是重复配置，不影响功能，可删去其一

按你的需求选择对应实现方案 #

需求1：仅限制浏览器端的跨域调用 #

现有配置已经满足要求，测试时请使用浏览器发起请求验证：

• 用非指定来源的浏览器页面发请求，控制台会报CORS跨域错误，即证明配置生效

需求2：服务端直接拦截所有非Oracle服务器的请求（包括非浏览器调用） #

CORS完全无法实现这个需求，需要新增自定义访问校验中间件：

1. 先明确Oracle服务器调用API时的固定标识：优先用固定IP白名单，其次约定Oracle请求携带自定义校验头（比如X-Allowed-Source: OracleServer）
2. 基于固定IP校验的中间件示例代码：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    app.UseRouting();

    // 新增的访问校验中间件，放在所有业务逻辑之前
    app.Use(async (context, next) =>
    {
        // 替换为你Oracle服务器的公网/内网固定IP
        var allowedIps = new HashSet<string> { "192.168.1.100" };
        var remoteIp = context.Connection.RemoteIpAddress?.MapToIPv4().ToString();
        if (!allowedIps.Contains(remoteIp))
        {
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            return;
        }
        await next();
    });

    app.UseCors("CorsPolicy");
    app.UseAuthorization();
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

3. 如果Oracle服务器IP不固定，可替换为自定义请求头校验逻辑：

// 替换IP校验部分的代码
if (!context.Request.Headers.TryGetValue("X-Allowed-Source", out var source) || source != "OracleServer")
{
    context.Response.StatusCode = StatusCodes.Status403Forbidden;
    return;
}

内容的提问来源于stack exchange，提问作者lukaszFD