EnableCors 属性未将 Access-Control-Allow-Origin 添加到 API 响应

Question

问题：

由于某种原因，启用 CORS 时，Access-Control-Allow-Origin 标头未包含在响应中。

错误：

从 'https://.../api/endpoints/some-path' 访问 XMLHttpRequest 来源“https://some.site.com”已被 CORS 政策阻止： 对预检请求的响应未通过访问控制检查：否 'Access-Control-Allow-Origin' 标头出现在请求的 资源。

配置 (.NET MVC 5)

web.config 标头：

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="Access-Control-Allow-Credentials" value="true"/>
      <add name="Access-Control-Allow-Headers" value="Content-Type" />
      <add name="Access-Control-Allow-Methods" value="GET, POST, PUT, OPTIONS" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

Web API 配置：

config.EnableCors();

API 端点：

[RoutePrefix("api/endpoints")]
[EnableCors(origins: "https://some.site.com", headers: "*", methods: "*")]
public class MyApiController : ApiController
{
    [HttpPost]
    [Route("some-path")]
    [EnableCors(origins: "https://some.site.com", headers: "*", methods: "*")]
    public ResponseModel GetSomeResponse(DataModel model) { ... }
}

global.asax.cs

protected void Application_BeginRequest(object sender, EventArgs e)
{
    if (HttpContext.Current.Request.HttpMethod == "OPTIONS")
        HttpContext.Current.Response.Flush();
}

我可以成功让应用程序返回该标头的唯一方法是将其作为自定义标头明确包含在 web.config 中：

<add name="Access-Control-Allow-Origin" value="https://some.site.com" />

Answer 1

使用HttpOptions 标头和相同的路由名称添加相同的方法。浏览器会将预检请求发送到您的控制器。这意味着将触发Options方法访问服务器的头信息。

[HttpOptions]
[Route("some-path")]
[EnableCors(origins: "https://some.site.com", headers: "*", methods: "*")]
public ResponseModel GetSomeResponse(DataModel model) { ... }

Answer 2

发件人：https://docs.microsoft.com/en-us/aspnet/web-api/overview/security/enabling-cross-origin-requests-in-web-api

确认 Access-Control-Request-Method 和 Access-Control-Request-Headers 标头随请求一起发送，并且 OPTIONS 标头通过 IIS 到达应用程序。

要配置 IIS 以允许 ASP.NET 应用接收和处理 OPTION 请求，请将以下配置添加到应用的 web.config 文件的 部分：

<system.webServer>
  <handlers>
    <remove name="ExtensionlessUrlHandler-Integrated-4.0" />
    <remove name="OPTIONSVerbHandler" />
    <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="*" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" />
  </handlers>
</system.webServer>

删除 OPTIONSVerbHandler 会阻止 IIS 处理 OPTIONS 请求。 ExtensionlessUrlHandler-Integrated-4.0 的替换允许 OPTIONS 请求到达应用，因为默认模块注册只允许带有无扩展 URL 的 GET、HEAD、POST 和 DEBUG 请求。

Answer 3

这对我有用。处理飞行前请求和cors 网页配置

<system.webServer>   
    <handlers>
      <remove name="ExtensionlessUrlHandler-Integrated-4.0" />
      <remove name="OPTIONSVerbHandler" />
      <remove name="TRACEVerbHandler" />
      <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="*" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" />
    </handlers>
  </system.webServer>

Global.asax.cs

protected void Application_BeginRequest(object sender, EventArgs e)
        {
            if (HttpContext.Current.Request.HttpMethod == "OPTIONS")
            {
                //These headers are handling the "pre-flight" OPTIONS call sent by the browser
                HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", "*");
                HttpContext.Current.Response.AddHeader("Access-Control-Allow-Methods", "*"); // For All HttpVerb
                //HttpContext.Current.Response.AddHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE");
                //HttpContext.Current.Response.AddHeader("Access-Control-Allow-Headers", "Authorization, Content-Type, Accept");
                HttpContext.Current.Response.AddHeader("Access-Control-Allow-Headers", "*");
                //HttpContext.Current.Response.AddHeader("Access-Control-Allow‌​-Credentials", "true");
                HttpContext.Current.Response.AddHeader("Access-Control-Max-Age", "600");//1728000
                HttpContext.Current.Response.StatusCode = 204;

                HttpContext.Current.Response.End();
            }
        }

WebApiConfig.cs

public static void Register(HttpConfiguration config)
{
    config.EnableCors();
    ....
}

在控制器中添加属性

[EnableCors(origins: "*", headers: "*", methods: "*")]

Answer 4

如果可能，请始终尽量保持您的代码简单和清晰。

实际上，无需更改 web.config、controllers 或 global.asax.cs .所以清理它们并只需在 Startup.cs 文件中的 Configure 方法中使用以下配置：

app.UseExceptionHandler(builder =>
{
    builder.Run(
    async context =>
    {
        context.Response.StatusCode = (int)HttpStatusCode.InternalServerError;
        context.Response.Headers.Add("Access-Control-Allow-Origin", "*");

        var error = context.Features.Get<IExceptionHandlerFeature>();
        if (error != null)
        {
            context.Response.AddApplicationError(error.Error.Message);
            await context.Response.WriteAsync(error.Error.Message).ConfigureAwait(false);
        }
    });
});

其中ResponseExtensions 被定义为具有以下详细信息的扩展：

public static class ResponseExtensions
{
    public static void AddApplicationError(this HttpResponse response, string message)
    {
        response.Headers.Add("Application-Error", message);
        // CORS
        response.Headers.Add("access-control-expose-headers", "Application-Error");
    }
}

这在我完全基于 API 的 Asp.net 项目中运行良好。

Answer 5

为所有控制器全局设置 CORS。在WebApiConfig 类中，创建EnableCorsAttribute 的实例并在EnableCors 方法中使用：

var cors = new EnableCorsAttribute("https://some.site.com", "*", "*");
config.EnableCors(cors);

Answer 6

全局启用 CORS 所描述的方法也可用于跨 API 启用 CORS，而无需按照下面的 WebApiConfig 注释每个控制器

public static void Register(HttpConfiguration config)
{
    var corsAttr = new EnableCorsAttribute("http://example.com", "*", "*");
    config.EnableCors(corsAttr);
}

Answer 7

我遵循了 Shaun 在下面的帖子中分享的相同步骤，我们可以在方法级别启用 CORS。这对我来说可以。 你能在最后尝试一下吗？

Asp.Net WebApi2 Enable CORS not working with AspNet.WebApi.Cors 5.2.3