ASP.NET Core 2.0 CORS配置无效：GET正常POST请求失败求助

首先，GET请求正常但POST失败，大概率是预检请求（OPTIONS）没有被正确处理，或者你的CORS配置存在顺序/细节上的疏漏。结合ASP.NET Core 2.0的特性，我整理了几个最可能的原因：

1. CORS中间件的顺序错误 #

在ASP.NET Core中，中间件的执行顺序至关重要。UseCors()必须放在UseMvc()和其他可能拦截请求的中间件（比如认证、授权）之前。如果你的Startup.cs里先调用app.UseMvc()再调用app.UseCors()，那么OPTIONS预检请求会被MVC直接拦截，根本不会走到CORS中间件处理。

正确的顺序应该是：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 先启用CORS
    app.UseCors(builder => 
        builder.AllowAnyOrigin()
               .AllowAnyMethod()
               .AllowAnyHeader()
               // 如果前端需要带凭证（比如Cookie），还要加上这个
               .AllowCredentials());

    // 再启用MVC
    app.UseMvc();
}

2. 没有允许POST请求所需的自定义请求头 #

Axios默认发送POST请求时，Content-Type是application/json，这个类型不属于浏览器默认放行的三种类型（application/x-www-form-urlencoded、multipart/form-data、text/plain），所以浏览器会发送OPTIONS预检请求，询问服务器是否允许这个头。

如果你的CORS配置只写了AllowAnyMethod()但没明确允许自定义头，或者策略里漏掉了AllowAnyHeader()，就会导致预检失败。务必确保配置里包含AllowAnyHeader()，或者明确指定允许Content-Type头。

3. CORS策略没有被正确应用 #

有时候你在ConfigureServices里定义了CORS策略，但没有在全局或者控制器上启用它：

• 全局启用：在Configure里用app.UseCors("YourPolicyName")，而不是只在AddCors里定义。
• 控制器级别启用：需要在控制器或Action上添加[EnableCors("YourPolicyName")]特性（如果全局没启用的话）。

比如在ConfigureServices里的配置：

public void ConfigureServices(IServiceCollection services)
{
    services.AddCors(options =>
    {
        options.AddPolicy("AllowAll",
            builder =>
            {
                builder.AllowAnyOrigin()
                       .AllowAnyMethod()
                       .AllowAnyHeader()
                       .AllowCredentials();
            });
    });

    services.AddMvc();
}

然后在Configure里必须调用app.UseCors("AllowAll")，否则策略不会生效。

4. 凭证（Credentials）的问题 #

如果你的前端请求带了凭证（比如Cookie、HTTP认证信息），需要同时满足两个条件：

• 后端CORS配置必须加上.AllowCredentials()；
• 前端Axios请求必须设置withCredentials: true，比如：

axios.post('your-api-url', data, {
    withCredentials: true
});

如果只配置了一端，就会出现CORS错误。

5. 被其他中间件拦截的伪装CORS错误 #

有时候POST请求失败并不是真的CORS问题，而是被ASP.NET的其他中间件拦截了，比如请求验证（Anti-Forgery Token）。如果你的API没有禁用Anti-Forgery验证，而前端没有传递对应的Token，会返回400 Bad Request，浏览器可能会把这个错误包装成CORS提示。

你可以打开浏览器开发者工具，查看网络请求的实际响应状态码，确认是不是真的CORS问题。

内容的提问来源于stack exchange，提问作者Peter Kellner