如何在 ASP.NET Core 中啟用 CORS

跨域資源共享 (CORS) 是一種允許 Web 應(yīng)用程序訪問(wèn)來(lái)自不同域的資源的機(jī)制。默認(rèn)情況下，出于安全考慮，瀏覽器會(huì)阻止跨域 HTTP 請(qǐng)求。但是，您可以在 ASP.NET Core 應(yīng)用程序中啟用 CORS，以便在需要時(shí)允許此類請(qǐng)求。本文將指導(dǎo)您使用現(xiàn)代最小托管模型在 ASP.NET Core 應(yīng)用程序中逐步啟用 CORS。

為什么需要 CORS？

假設(shè)您有一個(gè)托管在 [此處應(yīng)填寫(xiě)服務(wù)器地址] 的前端應(yīng)用程序，https://frontend.example.com它試圖訪問(wèn)托管在 [此處應(yīng)填寫(xiě)服務(wù)器地址] 的 API 。https://api.example.com如果未啟用 CORS，瀏覽器將阻止此請(qǐng)求，從而導(dǎo)致CORS 策略錯(cuò)誤。啟用 CORS 可以讓您指定哪些域可以安全地訪問(wèn)您的 API。

步驟 1：添加 CORS 服務(wù)

第一步是將 CORS 服務(wù)添加到您的應(yīng)用程序中。

1. 打開(kāi)Program.cs文件。
2. AddCors在服務(wù)配置部分注冊(cè) CORS 服務(wù)：

var builder = WebApplication.CreateBuilder(args);
// Add services to the container.
builder.Services.AddCors(options =>
{
? ? options.AddPolicy("AllowSpecificOrigins", builder =>
? ? {
? ? ? ? builder.WithOrigins("https://frontend.example.com") // Replace with your allowed origins
? ? ? ? ? ? ? ?.AllowAnyHeader()
? ? ? ? ? ? ? ?.AllowAnyMethod();
? ? });
});
builder.Services.AddControllers();
var app = builder.Build();

步驟 2：應(yīng)用 CORS 策略

您需要將 CORS 策略應(yīng)用到您的應(yīng)用程序。主要有兩種方法：全局應(yīng)用或針對(duì)特定端點(diǎn)應(yīng)用。

全球

要為所有控制器啟用該策略，請(qǐng)UseCors在請(qǐng)求管道配置中使用中間件：

app.UseCors("AllowSpecificOrigins"); // Apply CORS policy globally
app.UseHttpsRedirection();
app.UseAuthorization();
app.MapControllers();
app.Run();

每個(gè)端點(diǎn)

要為特定端點(diǎn)啟用 CORS，請(qǐng)使用以下[EnableCors]屬性：

[ApiController]
[Route("api/[controller]")]
public class MyController : ControllerBase
{
? ? [HttpGet]
? ? [EnableCors("AllowSpecificOrigins")]
? ? public IActionResult Get()
? ? {
? ? ? ? return Ok("CORS is enabled for this endpoint.");
? ? }
}

步驟 3：允許所有來(lái)源（可選）

如果要允許所有來(lái)源，可以按如下方式修改 CORS 策略：

builder.Services.AddCors(options =>
{
? ? options.AddPolicy("AllowAll", builder =>
? ? {
? ? ? ? builder.AllowAnyOrigin()
? ? ? ? ? ? ? ?.AllowAnyHeader()
? ? ? ? ? ? ? ?.AllowAnyMethod();
? ? });
});

然后，"AllowAll"在全局或針對(duì)特定端點(diǎn)應(yīng)用 CORS 時(shí)，使用此策略名稱。注意：允許所有來(lái)源可能會(huì)使您的 API 面臨安全風(fēng)險(xiǎn)，因此請(qǐng)謹(jǐn)慎使用。

步驟 4：測(cè)試 CORS 設(shè)置

配置好 CORS 后，可以使用 Postman 等工具、瀏覽器或前端應(yīng)用程序從不同的源發(fā)送請(qǐng)求進(jìn)行測(cè)試。檢查響應(yīng)頭中的條目，Access-Control-Allow-Origin以確認(rèn) CORS 是否按預(yù)期工作。

常見(jiàn)問(wèn)題及故障排除

1. 策略未應(yīng)用：請(qǐng)確保策略名稱與UseCors中定義的策略名稱匹配AddCors。
2. 選項(xiàng)請(qǐng)求失?。?/strong>如果您的 API 包含復(fù)雜請(qǐng)求，請(qǐng)確保該OPTIONS方法已被允許。
3. 配置錯(cuò)誤的源：請(qǐng)仔細(xì)檢查方法中的域名WithOrigins。