.NET Core 2.0配置CORS仍报‘No Access-Control-Allow-Origin’错误求助

我来帮你捋捋这个头疼的CORS问题——明明按教程配置了允许所有源，却还是报No 'Access-Control-Allow-Origin' header is present错误，这种情况我在项目里碰到过好多次，大概率是这些细节没做到位：

1. CORS中间件的顺序绝对不能错 #

.NET Core的中间件是按注册顺序执行的，app.UseCors()必须放在所有处理请求的中间件之前，尤其是app.UseMvc()和认证类中间件。如果顺序反了，CORS头根本不会被添加到响应里。

正确的Configure方法示例：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }

    // 先启用CORS，这一步必须在UseMvc之前
    app.UseCors(builder => builder
        .AllowAnyOrigin()
        .AllowAnyMethod()
        .AllowAnyHeader());

    // 再启用Mvc
    app.UseMvc();
}

2. 别忘了先在ConfigureServices里注册CORS服务 #

很多人会漏这一步——如果没在ConfigureServices里添加CORS服务，UseCors()就是空架子，完全不起作用。

基础注册方式：

public void ConfigureServices(IServiceCollection services)
{
    // 先注册CORS服务
    services.AddCors();
    // 再添加Mvc
    services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_0);
}

如果用的是命名策略，一定要确保UseCors()里指定了正确的策略名称：

// ConfigureServices里定义策略
services.AddCors(options =>
{
    options.AddPolicy("AllowAllOrigins", policy =>
    {
        policy.AllowAnyOrigin()
              .AllowAnyMethod()
              .AllowAnyHeader();
    });
});

// Configure里启用指定策略
app.UseCors("AllowAllOrigins");

3. 检查是否有其他中间件拦截了请求 #

如果你的项目里有自定义中间件、认证中间件（比如UseAuthentication()）或者异常处理中间件，要确保它们在UseCors()之后注册。比如有些认证中间件会直接返回401响应，而如果它在CORS之前执行，响应里就不会带上CORS头，导致报错。

4. 浏览器缓存坑人，先清缓存再测试 #

浏览器经常会缓存之前的跨域请求响应，哪怕你已经修改了CORS配置，它还是会返回旧的错误。试试清空浏览器缓存，或者用隐身模式重新发起请求，排除缓存干扰。

5. 预检请求（OPTIONS）是否被拦截 #

跨域的复杂请求（比如带自定义头、PUT/DELETE方法）会先发送OPTIONS预检请求。.NET Core的CORS中间件默认会处理OPTIONS，但如果你的路由配置、Action过滤器或者全局过滤器里有拦截OPTIONS请求的逻辑，就会导致预检失败，进而触发CORS错误。

检查下有没有类似这样的自定义过滤器：

public class RejectOptionsRequestsAttribute : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext context)
    {
        if (context.HttpContext.Request.Method == HttpMethod.Options.Method)
        {
            context.Result = new BadRequestResult();
        }
    }
}

如果有，赶紧移除或者修改逻辑，让OPTIONS请求能正常被CORS中间件处理。

6. 协议不一致导致的隐性拦截 #

如果你的前端是HTTPS站点，而API是HTTP，很多现代浏览器会因为“混合内容”限制而拦截请求，哪怕你配置了AllowAnyOrigin。这种情况要确保前后端协议一致，或者在开发环境临时允许浏览器加载混合内容（生产环境必须统一用HTTPS）。

内容的提问来源于stack exchange，提问作者Samuel Elrod