Visual Studio 2017下Web API配置CORS后出现多跨域响应头问题求助

嘿，我来帮你搞定这个跨域配置冲突的问题！这个错误本质是你的Web API在响应跨域请求时返回了不止一个Access-Control-Allow-Origin响应头，浏览器会判定这是非法响应，所以抛出报错。下面是几个最常见的排查和解决方向：

1. 检查Web API代码里的CORS配置是否重复 #

ASP.NET Web API的CORS配置有两种方式：全局注册和控制器/Action单独标注，这俩不能同时用，否则就会重复添加响应头：

• 如果你在WebApiConfig.cs里已经全局开启了CORS（比如下面这段代码），就不要再在控制器或Action上添加[EnableCors]属性了

// WebApiConfig.cs 全局配置示例
public static void Register(HttpConfiguration config)
{
    config.EnableCors(new EnableCorsAttribute("https://你的Web应用域名", "*", "*"));
}

• 反过来，如果是在控制器上用[EnableCors]属性做了局部配置，就把全局的CORS注册代码删掉，二者选其一即可。

2. 排查IIS是否额外添加了CORS响应头 #

很多人会在IIS里手动加跨域头，这会和代码里的配置冲突：

• 打开IIS管理器，找到你的API站点，点击「HTTP响应头」
• 检查列表里有没有Access-Control-Allow-Origin这一项，如果有直接删除，代码里的CORS配置已经会自动生成这个头了。

3. 检查第三方中间件/包是否偷偷加了CORS头 #

有些第三方模块（比如日志、安全类中间件）或者旧版跨域NuGet包，可能会在你不知情的情况下添加跨域头：

• 查看项目依赖，只保留官方的Microsoft.AspNet.WebApi.Cors包，卸载其他非官方的跨域相关包
• 检查Startup.cs或Global.asax里的中间件配置，有没有Owin之类的框架也做了CORS配置，确保和Web API的配置统一，不要重复设置。

4. 验证修改后的响应头 #

改完配置后，用浏览器F12开发者工具确认：

• 切换到「网络」标签，找到登录的API请求，查看「响应头」部分
• 确认只有一个Access-Control-Allow-Origin头，值是你期望的域名或者*

如果还是有问题，可以把你的CORS配置代码和IIS响应头设置贴出来，我再帮你细化排查~

内容的提问来源于stack exchange，提问作者Rhendar