如何在Global.asax.cs中配置Access-Control-Allow-Origin允许多个域名并终止OPTIONS请求？

没问题，我来帮你修正代码并梳理正确的实现逻辑——你当前的写法有个核心错误：Access-Control-Allow-Origin 响应头不支持逗号分隔多个域名，浏览器会直接忽略这个头或者报错，必须动态根据请求的Origin来返回匹配的单个域名。

下面是修正后的完整代码，同时优化了OPTIONS请求的终止逻辑（避免response.End()可能引发的异常）：

protected void Application_BeginRequest(object sender, EventArgs e)
{
    var context = HttpContext.Current;
    var response = context.Response;
    var request = context.Request;

    // 定义允许跨域的域名列表
    var allowedOrigins = new[] { "http://testsite.com", "https://testsite.com" };
    var requestOrigin = request.Headers["Origin"];

    // 仅当请求Origin在允许列表中时，设置跨域头
    if (!string.IsNullOrEmpty(requestOrigin) && allowedOrigins.Contains(requestOrigin))
    {
        response.AddHeader("Access-Control-Allow-Origin", requestOrigin);
        response.AddHeader("Access-Control-Allow-Credentials", "true");
    }

    // 处理OPTIONS预检请求
    if (request.HttpMethod == "OPTIONS")
    {
        response.AddHeader("Access-Control-Allow-Methods", "GET, POST");
        response.AddHeader("Access-Control-Allow-Headers", "authorization, content-type");
        response.AddHeader("Access-Control-Max-Age", "1728000");
        
        // 用CompleteRequest替代End()，避免抛出ThreadAbortException
        response.StatusCode = 200;
        context.ApplicationInstance.CompleteRequest();
        return;
    }

    // 修正X-Frame-Options：ALLOW-FROM *是无效的，若要允许所有嵌入，推荐用Content-Security-Policy
    // response.AddHeader("X-Frame-Options", "SAMEORIGIN"); // 仅允许同源嵌入
    response.AddHeader("Content-Security-Policy", "frame-ancestors *"); // 允许所有域名嵌入iframe
}

关键细节说明： #

• 动态设置跨域Origin：通过检查请求头里的Origin是否在允许列表中，动态返回对应的Access-Control-Allow-Origin值，这是浏览器认可的多域名跨域方式。
• 优化OPTIONS请求终止：使用context.ApplicationInstance.CompleteRequest()替代response.End()，前者会正常终止请求处理流程且不会抛出异常，更符合ASP.NET的最佳实践。
• X-Frame-Options修正：你原来写的ALLOW-FROM *是无效语法，X-Frame-Options的ALLOW-FROM只能指定单个域名，且已被主流浏览器废弃。如果需要允许所有域名嵌入iframe，推荐使用Content-Security-Policy的frame-ancestors *；如果只想允许同源，设置X-Frame-Options: SAMEORIGIN即可。

内容的提问来源于stack exchange，提问作者user3732708