已启用CORS仍遭访问拒绝：VS2017调试MVC WebAPI问题求助

嘿，我来帮你排查这个“访问被拒绝”的问题！你遇到的情况很典型——初始登录能成功，但后续GET请求失败，大概率和认证凭证的传递或者CORS的完整配置有关，毕竟登录后的凭证没被正确携带到WebAPI端。下面是一步步的排查和解决思路：

1. 确认CORS是否允许携带凭证 #

你提到已经启用了CORS，但默认情况下CORS是不允许携带Cookie/认证凭证的。这很可能是问题的核心！

WebAPI端配置调整 #

检查Startup.cs里的CORS配置，确保添加了AllowCredentials()，并且要指定具体的前端域名（不要用通配符*，否则AllowCredentials会失效）：

public void ConfigureServices(IServiceCollection services)
{
    services.AddCors(options =>
    {
        options.AddPolicy("AllowFrontendOrigin",
            builder => builder.WithOrigins("http://localhost:你的前端网站端口") // 替换成实际的前端地址
                              .AllowAnyHeader()
                              .AllowAnyMethod()
                              .AllowCredentials()); // 这个配置必须加
    });

    // 其他服务配置...
}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 注意：UseCors要放在UseRouting和UseAuthorization之前
    app.UseCors("AllowFrontendOrigin");
    
    app.UseRouting();
    app.UseAuthentication(); // 确保认证中间件在授权之前
    app.UseAuthorization();
    
    // 其他中间件配置...
}

前端请求调整 #

如果用的是fetch或axios，要明确开启携带凭证的选项：

• 用fetch的话：

fetch('http://你的WebAPI地址/api/目标接口', {
    method: 'GET',
    credentials: 'include' // 强制携带Cookie等凭证
});

• 用axios的话：

axios.get('http://你的WebAPI地址/api/目标接口', {
    withCredentials: true
});

2. 检查认证Cookie的SameSite属性 #

Windows 10搭配现代浏览器（比如Chrome、Edge）会对跨域Cookie的SameSite属性有严格限制，如果你的Cookie没正确设置，浏览器会拒绝携带它。

在WebAPI的认证配置里修改Cookie属性：

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Cookie.SameSite = SameSiteMode.None; // 跨域场景必须设为None
        // 本地HTTP调试时，把SecurePolicy设为None；生产环境建议用HTTPS，设为Always
        options.Cookie.SecurePolicy = CookieSecurePolicy.None; 
        options.Cookie.HttpOnly = true;
    });

3. 验证WebAPI的授权规则 #

暂时去掉API控制器或Action上的[Authorize]属性测试：如果去掉后能正常访问，说明是授权规则的问题——你需要检查登录后的用户是否拥有访问该接口的角色/声明，或者[Authorize]属性是否误配置了角色要求。

4. 用开发者工具确认凭证是否被携带 #

打开浏览器F12的「Network」标签，查看后续GET请求的请求头：

• 检查是否存在Cookie头，格式类似：Cookie: .AspNetCore.Cookies=xxx...
• 如果没有这个头，说明浏览器因为安全策略阻止了凭证传递，回到步骤1和2重新检查配置。

内容的提问来源于stack exchange，提问作者Rhendar