如何在 ASP.NET Web Api 中启用 Cors

Question

我正在学习 Angular 2。这是我应该从 ASP.NET Web api 应用程序中提取数据的服务。

@Injectable()
export class ExpenseService {
  private _expUrl = "http://localhost:65400/api/expenses";

  constructor(private _http: Http){}    

  getExpenses(): Observable<IExpense[]> {
    return this._http.get(this._expUrl)
        .map((response: Response) => <IExpense[]>response.json())
        .do(data => console.log('ALL: ' + JSON.stringify(data)))
        .catch(this.handleError)
  }    
  //more here...
}

以上代码在 Microsoft Edge 中运行良好。但是，在 Chrome 和 FireFox 中，我收到以下错误：

XMLHttpRequest cannot load http://localhost:65400/api/expenses. 
No 'Access-Control-Allow-Origin' header is present on the requested resource. 
Origin 'http://localhost:3000' is therefore not allowed

我已经按照许多帖子的建议在我的 web api 中启用了 CORS。

public void ConfigureServices(IServiceCollection services)
{
   services.AddCors();
   //...
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env,
       ILoggerFactory loggerFactory)
{
  //...
  app.UseCors(builder =>
            builder.WithOrigins("http://localhost:3000/"));
}

这并没有改变结果。在 Edge 工作正常时，我在 Chrome 和 FireFox 中仍然遇到同样的错误。

感谢您的帮助

Answer 1

CORS 由客户端强制执行，由服务器支持。

CORS 可以帮助您作为用户。它限制了客户端（例如主机 google.com 上的 javascript）调用 mydomain.com 上的服务的可能性。这是 Chrome 和 FireFox 不允许的跨域调用。 （假设 Edge 也支持这一点）。如果您在某个主机和端口上托管服务和客户端，则不使用 CORS。

服务必须定义允许跨域的主机。这可以来自所有主机，也可以来自特定主机。

要允许所有主机访问，请执行以下操作：

配置

public void ConfigureServices(IServiceCollection services)
{
    services.AddCors();
}

控制器

[EnableCors("AllowSpecificOrigin")]
public class TestController : ApiController

如果您的服务是公共服务，请注意后果。

您可以在这里阅读更多内容：https://docs.microsoft.com/en-us/aspnet/core/security/cors