如何结合CORS与OWIN令牌认证限制源地址？

嘿，我刚好碰到过类似的场景！你现在用app.UseCors(CorsOptions.AllowAll)确实能解决跨域问题，但要限制特定源的话，咱们得自定义CORS策略，而不是用默认的“允许所有”配置。

步骤1：创建自定义CORS策略 #

首先，你需要实例化一个CorsPolicy对象，然后明确设置允许的源、方法和头。这里有几种灵活的配置方式：

方式一：指定固定允许源

如果你的客户端地址是固定的，直接把它们添加到Origins集合里就行：

var corsPolicy = new CorsPolicy
{
    AllowAnyMethod = true, // 允许所有HTTP方法（GET/POST/PUT等）
    AllowAnyHeader = true, // 允许所有请求头
    AllowCredentials = true, // 如果请求带凭证（比如Token、Cookie），必须开启这个
    Origins = { "https://your-production-client.com", "http://localhost:3000" } // 替换成你的实际客户端地址
};

方式二：动态判断允许源

如果需要更灵活的规则（比如允许某个域名下的所有子域），可以用SetIsOriginAllowed自定义判断逻辑：

var corsPolicy = new CorsPolicy
{
    AllowAnyMethod = true,
    AllowAnyHeader = true,
    AllowCredentials = true
};

// 自定义源判断逻辑：允许所有以trusted-domain.com结尾的地址，加上本地开发地址
corsPolicy.SetIsOriginAllowed(origin => 
{
    return origin.EndsWith(".trusted-domain.com") || origin == "http://localhost:5000";
});

步骤2：配置Owin的CorsOptions #

接下来，把刚才的策略包装成CorsOptions，让Owin使用这个自定义规则：

var corsOptions = new CorsOptions
{
    PolicyProvider = new CorsPolicyProvider
    {
        PolicyResolver = context => Task.FromResult(corsPolicy)
    }
};

步骤3：替换原有的AllowAll配置 #

最后，在你的Startup.Auth.cs里，把原来的AllowAll替换成咱们自定义的corsOptions：

// 替换掉 app.UseCors(CorsOptions.AllowAll);
app.UseCors(corsOptions);

额外注意事项 #

• 中间件顺序很关键：UseCors一定要放在其他需要跨域的中间件之前，比如UseOAuthBearerAuthentication或者UseWebApi，这样CORS头才会正确添加到所有请求（包括令牌颁发的/token端点）。
• 别混用两种CORS方案：Owin CORS和WebApi自带的CORS可能会冲突，既然你用Owin的方案解决了令牌认证的问题，就统一用它就行。
• 凭证请求要配对设置：如果你的AJAX请求带了Authorization头或者Cookie，客户端要设置withCredentials: true，同时服务器端的AllowCredentials要设为true，不然跨域请求会直接失败。

内容的提问来源于stack exchange，提问作者A Houghton