如何为Azure WebRole运行的API服务简单启用CORS？

我之前在Azure WebRole上部署Web API时也踩过CORS的坑，给你几个亲测有效的解决方案，应该能解决你的问题：

你提到微软文档提过这个包但说明不明确，其实配置步骤很清晰，关键是要确保配置生效：

• 先安装NuGet包：在Package Manager Console里运行 Install-Package Microsoft.AspNet.Cors
• 打开WebApiConfig.cs，在Register方法里添加CORS全局配置：

public static void Register(HttpConfiguration config)
{
    // 全局启用CORS，生产环境建议替换*为具体允许的域名，比如"https://your-frontend.com,https://another-domain.com"
    var corsSettings = new EnableCorsAttribute("*", "*", "*");
    config.EnableCors(corsSettings);

    // 别忘了保留原有的Web API路由配置
    config.MapHttpAttributeRoutes();
    config.Routes.MapHttpRoute(
        name: "DefaultApi",
        routeTemplate: "api/{controller}/{id}",
        defaults: new { id = RouteParameter.Optional }
    );
}

• 确保WebApiConfig.Register在Global.asax的Application_Start方法里被调用，这一步很容易漏：

protected void Application_Start()
{
    GlobalConfiguration.Configure(WebApiConfig.Register);
    // 其他初始化代码...
}

• 如果需要给特定控制器/方法单独配置CORS，直接加特性就行：

// 只允许指定域名访问这个控制器
[EnableCors(origins: "https://your-frontend-domain.com", headers: "*", methods: "GET,POST")]
public class ProductsController : ApiController
{
    // 控制器方法...
}

你之前试了web.config但没效果，大概率是配置位置不对或者被其他模块拦截了。正确的配置方式是：
在web.config的<system.webServer>节点下添加：

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <!-- 允许的前端域名，生产环境别用* -->
      <add name="Access-Control-Allow-Origin" value="https://your-frontend-domain.com" />
      <!-- 允许的HTTP方法 -->
      <add name="Access-Control-Allow-Methods" value="GET, POST, PUT, DELETE, OPTIONS" />
      <!-- 允许的请求头，比如Authorization、Content-Type -->
      <add name="Access-Control-Allow-Headers" value="Content-Type, Authorization" />
    </customHeaders>
  </httpProtocol>

  <!-- 移除可能干扰OPTIONS请求的WebDAV模块 -->
  <modules>
    <remove name="WebDAVModule" />
    <runAllManagedModulesForAllRequests="true" />
  </modules>
</system.webServer>

• 特别注意：如果你的API需要处理带自定义头的请求（比如带Token的POST），浏览器会先发一个OPTIONS预检请求，ASP.NET默认可能会拦截它。这时候可以加一个简单的HTTP模块来处理OPTIONS：

using System.Web;

namespace YourWebRoleNamespace
{
    public class CorsOptionsHandler : IHttpModule
    {
        public void Init(HttpApplication context)
        {
            context.BeginRequest += (sender, args) =>
            {
                var app = sender as HttpApplication;
                if (app?.Request.HttpMethod == "OPTIONS")
                {
                    app.Response.StatusCode = 200;
                    app.Response.End();
                }
            };
        }

        public void Dispose() { }
    }
}

然后在web.config的<modules>里注册这个模块：

<modules>
  <add name="CorsOptionsHandler" type="YourWebRoleNamespace.CorsOptionsHandler" />
</modules>

如果还是没生效，打开浏览器开发者工具的Network标签，查看API请求的响应头，确认Access-Control-*系列头是否存在：

• 如果没有，检查配置是否正确应用，有没有其他模块覆盖了这些头
• 如果有但浏览器还是报错，检查是否有跨域请求的方法/头不在允许列表里

内容的提问来源于stack exchange，提问作者NeilMacMullen