如何在asp中为每种类型的请求启用Cors。净核心3.1

Question

如何为核心3.1中的每种类型asp.net请求启用Cors？

我遵循的MS文档，但他们似乎不工作。

注意：我能够实现特定领域的cors，但不是每个领域。例如，我已将以下配置应用于我的项目：

>

服务。AddCors（）；

在我添加的Configure（）方法中：

app.UseCors（构建器=

但是当我试图从另一个url访问jQuery的API时，我会得到：

访问位于“”的XMLHttpRequesthttps://localhost:44314/Reservation“起源”https://localhost:44361'已被CORS策略阻止：对飞行前请求的响应未通过访问控制检查：请求的资源上不存在'access control Allow Origin'标头。

现在，如果我把URL放在的方式，我可以访问API：

app.UseCors(builder =>
{
    builder
    .WithOrigins("https://localhost:44361")
    .AllowAnyMethod()
    .AllowAnyHeader()
    .AllowCredentials();
});

我的问题是如何无限制地访问每个URL（即域、子域等）的API。应用*不起作用。

请帮忙。

Answer 1

这应该对你有好处。忽略MVC部件，我只是为您添加了一个，以确保您的管道顺序是正确的

public void ConfigureServices(IServiceCollection services)
{
      services.AddCors();
      services.AddMvc();
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
    app.UseCors(
        options => options.AllowAnyOrigin().AllowAnyMethod().AllowAnyHeader()
    );

    app.UseMvc();
}

Answer 2

您需要允许对以下各项执行任何原点操作：

builder。AllowAnyOrigin（）

任何带有AllowCredentials的源代码

不允许从任何来源发送凭据是出于设计。

您可以使用以下方法来解决此问题

builder。设置原始值（=

我不认为这是一个很好的解决方案，因为它消除了useCredentials（）的好处。

笔记

在标头中发送JWT不需要使用凭据。如果您需要在请求中发送Cookie，则此选项适用。允许任何来源并启用useCredentials会导致安全漏洞，这就是默认情况下不允许的原因。

有关更多信息，您应该阅读

访问控制允许凭据头到底是做什么的？

和

CORS:当凭据标志为true时，无法在访问控制允许原点中使用通配符