启用CORS后ASP.NET Web API POST请求返回400错误求助

兄弟，我完全懂这种CORS折腾得头大的感觉！Postman能跑但前端一调就400，大概率是CORS配置和请求细节没匹配上，咱们一步步排查：

首先得确认你已经通过NuGet装了Microsoft.AspNet.WebApi.Cors包，然后看WebApiConfig.cs里的配置，这地方最容易出细节问题：

• 别只允许GET方法！POST请求必须明确加进去
• 如果前端带了自定义请求头（比如Content-Type），必须显式允许，不能用*蒙混
• 来源地址要写全，比如前端是http://localhost:3000，别漏了端口号

错误示范（踩过的坑）：

// 只开了GET，POST直接被拦
config.EnableCors(new EnableCorsAttribute("http://localhost:3000", "*", "GET"));
// 看似宽松，但浏览器预检可能因为头部不明确失败
config.EnableCors(new EnableCorsAttribute("*", "*", "*"));

靠谱的POST专用配置示例：

config.EnableCors(new EnableCorsAttribute(
    "http://localhost:3000", // 你的前端地址
    "Origin, Content-Type, Accept", // 允许的请求头
    "POST" // 明确允许POST方法
));

另外注意：如果控制器或方法上单独加了[EnableCors]特性，会覆盖全局配置，别搞混了。

400是「请求格式错误」，不一定全是CORS的锅，打开浏览器控制台的网络面板先看两个关键点：

1. 有没有OPTIONS请求（这是CORS预检请求）？如果OPTIONS直接返回400，那肯定是CORS配置不对；如果OPTIONS成功，POST才报错，那要对比Postman和前端的请求差异：
   • Postman是不是默认发了Content-Type: application/json，但前端没设置？
   • 你的控制器方法是不是用了[FromBody]接收JSON，但前端发的是form-data格式？

比如控制器方法是这样的：

[HttpPost]
public IHttpActionResult SaveData([FromBody] UserModel model)
{
    // 处理逻辑
}

那前端必须这么发请求（以fetch为例）：

fetch('http://你的API地址/api/Users', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json', // 必须加这个
  },
  body: JSON.stringify({ username: 'test', age: 20 }) // 必须是JSON字符串
})

有时候Web.config里的配置会和代码里的CORS冲突：

• 别在<customHeaders>里重复加Access-Control-Allow-Origin！代码里已经配置的话，这里再加会导致浏览器收到多个Origin头部直接报错
• 确保<system.webServer>里没移除CORS相关模块，默认是不需要改的，别瞎折腾

先把CORS改成最宽松的（仅限测试，上线别这么搞）：

config.EnableCors(new EnableCorsAttribute("*", "*", "*"));

然后用最极简的前端请求测试，如果这时候能成功，说明之前的配置太严格（比如来源写错了、头部没允许）；如果还是400，那大概率是API的模型验证问题——比如你的UserModel里有必填字段，前端没传，这时候在控制器里加个判断就能看到详细错误：

[HttpPost]
public IHttpActionResult SaveData([FromBody] UserModel model)
{
    if (!ModelState.IsValid)
    {
        return BadRequest(ModelState); // 会返回具体的验证错误，控制台能看到
    }
    // 正常处理逻辑
}

内容的提问来源于stack exchange，提问作者Nick Grover