Identity Server 4：浏览器访问connect/token端点报400请求错误

嘿，这个问题我之前帮好几个开发者解决过——本质上是浏览器的同源策略在搞事情：Postman这类工具不遵循同源规则，所以能正常调用connect/token；但浏览器会先发送OPTIONS预检请求，你的IdentityServer没正确处理这个请求，导致返回的响应缺少Access-Control-Allow-Origin头，最终被浏览器拦截。

下面是具体的解决步骤，按顺序来就行：

1. 在IdentityServer中配置CORS策略 #

首先在你的启动文件（Program.cs 或者 Startup.cs，取决于.NET版本）里添加CORS服务定义，指定允许的源、方法和头：

// Program.cs 示例（.NET 6+）
var builder = WebApplication.CreateBuilder(args);

// 添加CORS策略
builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowLocalClient", policy =>
    {
        // 替换成你的前端实际域名，这里是你的示例源http://localhost:8100
        policy.WithOrigins("http://localhost:8100")
              .AllowAnyHeader() // 允许所有请求头，因为token请求会带Authorization等头
              .AllowAnyMethod() // 允许POST、OPTIONS等方法
              .AllowCredentials(); // 如果你的请求需要携带凭证（比如cookie），加上这个
    });
});

2. 让IdentityServer使用这个CORS策略 #

IdentityServer有自己的CORS处理逻辑，所以要确保它使用你刚才定义的策略。在添加IdentityServer服务的时候，配置CORS策略服务：

builder.Services.AddIdentityServer()
    // 这里是你的其他IdentityServer配置，比如AddInMemoryClients、AddInMemoryApiResources等
    .AddInMemoryClients(Config.Clients)
    .AddInMemoryApiScopes(Config.ApiScopes)
    // 添加CORS策略服务，使用默认实现即可
    .AddCorsPolicyService<DefaultCorsPolicyService>();

3. 在中间件管道中启用CORS #

一定要在UseIdentityServer之前调用UseCors，确保CORS中间件先处理请求：

var app = builder.Build();

// 先启用CORS
app.UseCors("AllowLocalClient");

// 再启用IdentityServer
app.UseIdentityServer();

app.Run();

4. 配置客户端的AllowedCorsOrigins #

这一步很容易被忽略！IdentityServer会验证客户端配置里的AllowedCorsOrigins，只有在这个列表里的源，才会返回正确的CORS头。所以要在你的客户端配置（比如Config.cs的Clients列表）里添加你的前端源：

public static IEnumerable<Client> Clients =>
    new List<Client>
    {
        new Client
        {
            ClientId = "your-client-id",
            ClientSecrets = { new Secret("your-client-secret".Sha256()) },
            AllowedGrantTypes = GrantTypes.ClientCredentials,
            AllowedScopes = { "your-api-scope" },
            // 关键：添加允许的CORS源
            AllowedCorsOrigins = { "http://localhost:8100" }
        }
    };

验证解决效果 #

做完上面的步骤后，重启你的IdentityServer服务，然后在浏览器里再次调用connect/token端点：

• 打开浏览器控制台，查看OPTIONS预检请求的响应头，应该能看到Access-Control-Allow-Origin: http://localhost:8100
• 主请求（POST）也能正常返回200状态码和token了

内容的提问来源于stack exchange，提问作者userlkjsflkdsvm