.NET Core与Angular4应用CORS问题：Azure自定义域名环境异常

我来帮你梳理几个在这种场景下容易踩的CORS坑，你可以逐一排查：

• 先排除浏览器缓存干扰：从开发环境切换到生产环境后，浏览器很可能缓存了旧的CORS响应头或API地址。试试用隐私窗口（比如Chrome的Ctrl+Shift+N）访问，或者强制刷新页面（Ctrl+Shift+R），同时打开开发者工具的Network面板，勾选「Disable cache」选项再测试。

• 检查Azure门户的CORS配置优先级：Azure Web App的门户自带CORS配置项，这个优先级是高于web.config配置的！登录Azure门户找到你的API应用，进入「CORS」设置页，看看是不是还保留了开发环境的webapp.azurewebsites.net，或者有没有漏掉https://www.webapp.com这个源。如果这里有配置，web.config里的设置会被直接覆盖。

• 确认HTTPS前缀的正确性：生产环境用了HTTPS，一定要确保CORS源配置的是https://www.webapp.com，而不是不带https的www.webapp.com或旧的HTTP地址。另外检查前端请求API的地址是不是https://api.webapp.com，有没有不小心写成HTTP导致混合内容错误——浏览器会拦截这类请求，表现和CORS问题很像。

• 分析预检请求（OPTIONS）的响应：打开浏览器开发者工具的Network面板，找到API请求对应的OPTIONS预检请求，重点看它的响应头：

  • 确认Access-Control-Allow-Origin的值是不是https://www.webapp.com（生产环境不建议用*）
  • 检查Access-Control-Allow-Methods是否包含你实际使用的HTTP方法（比如GET/POST/PUT等）
  • 确认Access-Control-Allow-Headers包含前端请求里带的自定义头（比如Authorization、Content-Type等）
  • 如果OPTIONS请求返回404或500，那问题可能出在API的路由配置或服务器错误，不是单纯的CORS配置问题。

• 检查SSL证书的覆盖范围：确认你的API域名api.webapp.com的HTTPS证书有效，并且明确包含这个域名（可以点击浏览器地址栏的锁图标查看证书详情）。如果证书有信任问题，浏览器会在建立连接时就拦截请求，也会表现为CORS错误。

• 排查反向代理/网关的影响：如果生产环境用了Azure Front Door、API Management或其他反向代理，要检查这些服务有没有自己的CORS配置，会不会修改或覆盖API返回的CORS响应头。比如API Management的CORS策略会优先于后端API的配置。

• 再次确认代码中的硬编码：虽然你检查了web.config，但可以再排查前端代码里有没有硬编码的API地址（比如api.azurewebsites.net），或者有没有在代码里动态设置CORS相关逻辑，导致生产环境没有正确替换。

内容的提问来源于stack exchange，提问作者sensei