ASP.NET Web API跨域(CORS)异常求助：同配置设备表现不一致

这种配置统一但跨设备表现差异化的CORS问题确实让人挠头，结合你的架构和已尝试的方案，我来梳理下核心原因和针对性的解决步骤：

核心原因分析 #

从你的描述来看，不同设备的差异表现（有的全正常、有的只能用GET/PUT）大概率和预检请求（OPTIONS）的处理以及浏览器缓存有关：

• GET属于「简单请求」，浏览器不会发OPTIONS预检；而PUT属于「非简单请求」，必须先通过OPTIONS预检才能发起实际请求。
• 部分设备能正常用GET但不能用PUT，说明预检请求失败了；清除缓存后恢复，直接指向旧的预检响应缓存导致的问题。
• 另外你配置的JwtHandler可能拦截了不带token的OPTIONS请求，这也是常见的坑。

针对性解决方案 #

1. 确保JWT中间件跳过OPTIONS预检请求 #

浏览器自动发起的OPTIONS预检请求不会携带JWT token，你的JwtHandler如果没有跳过这类请求，会直接返回401，导致预检失败。修改JwtHandler代码：

public class JwtHandler : DelegatingHandler
{
    protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        // 直接放行OPTIONS预检请求，跳过JWT验证
        if (request.Method == HttpMethod.Options)
        {
            return await base.SendAsync(request, cancellationToken);
        }

        // 你的原有JWT验证逻辑...
    }
}

2. 优化CORS配置，控制预检缓存 #

更新WebApiConfig的CORS配置，明确设置预检缓存时长，同时支持可能的多Origin场景（比如有的设备用127.0.0.1:4200而非localhost）：

public static void Register(HttpConfiguration config)
{
    string corsOrigins = ConfigurationManager.AppSettings.Get("CorsOrigin");
    if (string.IsNullOrEmpty(corsOrigins))
    {
        throw new Exception("AppSetting CorsOrigin not found in web.config file.");
    }

    var enableCors = new EnableCorsAttribute(corsOrigins, "*", "*")
    {
        PreflightMaxAge = 3600, // 设置预检缓存1小时，避免频繁触发
        SupportsCredentials = true // 如果你的请求需要带Cookie/认证信息，开启这个
    };
    config.EnableCors(enableCors);

    // 原有路由、中间件配置...
}

同时建议在web.config的CorsOrigin里添加可能的访问地址，比如：

<add key="CorsOrigin" value="http://localhost:4200,http://127.0.0.1:4200"/>

3. 配置IIS确保OPTIONS请求被正确处理 #

IIS默认可能拦截OPTIONS请求，导致Web API无法处理预检。在web.config的system.webServer节点添加如下配置：

<system.webServer>
    <handlers>
        <remove name="ExtensionlessUrlHandler-Integrated-4.0" />
        <remove name="OPTIONSVerbHandler" />
        <remove name="TRACEVerbHandler" />
        <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="*" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" />
        <!-- 确保OPTIONS请求被Web API处理 -->
        <add name="OPTIONSVerbHandler" path="*" verb="OPTIONS" modules="IsapiModule" scriptProcessor="C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_isapi.dll" preCondition="classicMode,runtimeVersionv4.0,bitness32" responseBufferLimit="0" />
    </handlers>
    <!-- 注意：如果Web API已经全局设置了CORS头，这里不要重复添加，否则会导致头冲突 -->
    <httpProtocol>
        <customHeaders>
            <!-- 移除这里可能存在的Access-Control-Allow-Origin配置 -->
        </customHeaders>
    </httpProtocol>
</system.webServer>

4. 调试验证步骤 #

在有问题的设备上，打开浏览器开发者工具（F12）的「Network」标签，筛选「OPTIONS」请求：

• 检查请求的Origin头是否和你配置的CorsOrigin匹配
• 查看响应状态码是否为200，响应头是否包含Access-Control-Allow-Origin、Access-Control-Allow-Methods等CORS相关字段
• 如果是401，说明JWT中间件没跳过OPTIONS；如果是404，说明IIS没把OPTIONS请求转发给Web API

总结 #

你的问题核心是预检请求未被正确处理加上浏览器缓存了旧的错误预检响应，导致不同设备因为缓存状态不同出现差异化表现。按照上面的步骤调整后，应该能解决跨设备的CORS不一致问题。

内容的提问来源于stack exchange，提问作者Mind Optimizer