WebAPI批量请求跨域报错：预检请求未通过跨域校验

嘿，这个跨域预检失败的问题我太熟了，尤其是WebAPI批量请求的场景，给你几个实打实的解决办法：

1. 用官方CORS NuGet包（最推荐，省心又规范） #

这是微软官方的解决方案，配置起来一步到位：

• 先安装NuGet包：Install-Package Microsoft.AspNet.WebApi.Cors
• 打开WebApiConfig.cs，在注册方法里添加CORS配置：

  public static void Register(HttpConfiguration config)
  {
      // 允许你的前端域名跨域，生产环境别用*（不安全）
      var corsSettings = new EnableCorsAttribute("http://localhost:56126", "*", "*");
      config.EnableCors(corsSettings);
  
      // 保留你原有的WebAPI路由配置
      config.MapHttpAttributeRoutes();
      config.Routes.MapHttpRoute(
          name: "DefaultApi",
          routeTemplate: "api/{controller}/{id}",
          defaults: new { id = RouteParameter.Optional }
      );
  }
  

• 要是只想给批量请求的控制器单独开权限，直接加特性就行：

  [EnableCors(origins: "http://localhost:56126", headers: "*", methods: "*")]
  public class BatchController : ApiController
  {
      // 你的批量GET/PUT/POST/DELETE方法
  }
  

2. 手动拦截OPTIONS预检请求（不想装包的话用这个） #

如果不想依赖NuGet包，直接在全局请求里处理OPTIONS请求：

• 打开Global.asax，在Application_BeginRequest方法里加这段代码：

  protected void Application_BeginRequest()
  {
      if (Request.HttpMethod == "OPTIONS")
      {
          Response.StatusCode = (int)HttpStatusCode.OK;
          // 允许你的前端域名
          Response.AddHeader("Access-Control-Allow-Origin", "http://localhost:56126");
          // 允许常用请求头，按需添加
          Response.AddHeader("Access-Control-Allow-Headers", "Content-Type, Accept, Authorization");
          // 允许你需要的HTTP方法
          Response.AddHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
          Response.End();
      }
  }
  

  重点：一定要让OPTIONS请求在这里就结束，别走到API路由逻辑里，不然很容易返回400错误。

3. 排查批量请求的路由和预检细节 #

有时候400错误不一定是跨域头的问题，可能是预检请求本身不符合API规则：

• 打开浏览器F12开发者工具，看Network面板里的OPTIONS请求，检查Access-Control-Request-Method和Access-Control-Request-Headers是不是和你实际的批量请求匹配。
• 确认你的批量请求路由配置正确，别让OPTIONS请求误打到不存在的API方法上。

4. 生产环境的注意事项 #

• 绝对别用*允许所有域名，要写死具体的前端域名，避免安全风险。
• 如果需要带Cookie或者HTTP认证信息，CORS配置要加supportsCredentials: true，同时前端Ajax请求也要设置withCredentials: true。

内容的提问来源于stack exchange，提问作者Kalai