NET5.0 Blazor WASM CORS客户端异常

Question

我有一个Blazor WASM应用程序和一个网络应用程序接口，通过HttpClient被Blzor调用。这两个程序运行在同一台机器上（也在正式生产环境中，对于小型企业应用程序来说，这不应该是异国情调！）。

从Blazor客户端调用Web Api会导致客户端CORS异常

CORS策略阻止从http://localhost:4040/https://localhost:5001获取数据：请求的资源上不存在访问控制允许来源标头。如果不透明的响应满足您的需求，请将请求的模式设置为no-cors，以在禁用CORS的情况下获取资源。

这是本案的预期行为。

在我以前用PHP开发的一个api项目中，它有相同的客户端行为，我可以通过简单地设置响应头（例如）来绕过CORS异常。

$response = new Response;
$response->setState(false, $route->command);
...
header("Access-Control-Allow-Origin: *");
echo $response;

现在我想在我的.NET5.0WebAPI中使用它。我在互联网上找到了不同的文档来处理这个问题

https://docs.microsoft.com/de-de/aspnet/core/security/cors?view=aspnetcore-5.0 https://www.c-sharpcorner.com/article/enabling-cors-in-asp-net-core-api-application/ https://docs.microsoft.com/en-us/dotnet/api/microsoft.aspnetcore.cors.infrastructure.corspolicybuilder.withorigins?view=aspnetcore-5.0

并在我的api中实现了它

    public class Startup {
        //---------------------------------------------------------------------

        public Startup(IConfiguration configuration)
        {
            Configuration = configuration;
        }
        //---------------------------------------------------------------------

        public IConfiguration Configuration { get; }

        //---------------------------------------------------------------------

        // This method gets called by the runtime. Use this method to add services to the container.
        public void ConfigureServices
                    (
                        IServiceCollection services
                    )
                    =>  services
                        .AddCors()
                        .AddSwaggerGen(c => c.SwaggerDoc("v1", new OpenApiInfo { Title = "api", Version = "v1"}) )
                        .AddControllers()
                        ;
        //---------------------------------------------------------------------

        // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
        public void Configure
                    (
                        IApplicationBuilder app,
                        IWebHostEnvironment env
                    )
                    =>  app.
                        apply( _ =>
                        {
                            if (true) //(env.IsDevelopment())
                            {
                                app
                                .UseDeveloperExceptionPage()
                                .UseSwagger()
                                .UseSwaggerUI( c => c.SwaggerEndpoint("/swagger/v1/swagger.json", "api v1") );
                            }
                        })
                        .UseCors( cors =>
                            cors
                            .AllowAnyHeader()
                            .AllowAnyMethod()
                            .SetIsOriginAllowed( _ => true )
                            .AllowCredentials()
                        )
                        .UseHttpsRedirection()
                        .UseRouting()
                        .UseAuthorization()
                        .UseEndpoints( e => e.MapControllers() )
                        ;
        //---------------------------------------------------------------------
    }

甚至尝试在ApicController中设置响应头

    [Route("/")]
    [ApiController]
    public sealed class ServertimeController : ControllerBase
    {
        //[EnableCors("AllowOrigin")]
        [HttpGet]
        public Servertime Get() {

            Response.Headers.Add("Access-Control-Allow-Origin", "*");
            Response.Headers.Add("Access-Control-Allow-Methods", "GET, POST, PUT");

            return servertime();
        }
    }

Blazor WASM客户端看起来像

    private async void onClick()
    {

        var response = await httpClient.GetFromJsonAsync<Servertime> ("http://localhost:4040");
        message = response.servertime;
        this.StateHasChanged();
    }

但它仍然会导致客户端CORS异常。为了在开发中绕过这一点，我使用浏览器扩展“CORS Unblock”，但这不是部署的选项。

避免Blazor客户端异常的正确方法是什么？我错过了什么？

Answer 1

var client = new HttpClient();

var request = new HttpRequestMessage
{
    Method = new HttpMethod("GET"),
    RequestUri = new Uri($"{site.BaseUrl}robots.txt")
};

request.Headers.Add("Accept", "text/plain");
request.SetBrowserRequestMode(BrowserRequestMode.NoCors);

var response = await client.SendAsync(request);

var txt = await response.Content.ReadAsStringAsync();

工具书类

• SetBrowserRequestMode
• 浏览器请求模式

Answer 2

只需将此添加到ConfigureServices方法：

services.AddCors(options =>
        {
            options.AddPolicy("DevCorsPolicy", builder =>
            {
                builder
                    .AllowAnyOrigin()
                    .AllowAnyMethod()
                    .AllowAnyHeader();
            });
        });

此选项用于配置方法：

app.UseCors("DevCorsPolicy");

Answer 3

@Dmitriy Grebennikov的答案也是正确的，但它需要一些改进以使其更加安全。

在Startup.cs的ConfigureServices中，在services.AddControllers（）之前添加以下代码

services.AddCors(options =>
            {
                options.AddDefaultPolicy(builder => 
                builder.WithOrigins("https://localhost:44338")
                       .AllowAnyMethod()
                       .AllowAnyHeader());
            }); 

确保您的url不应以/结尾。

您可以通过origins方法将许多url传递给。最后，在Startup.cs的Configure方法中，在app.UseAuthorization（）之前添加以下行 和之后app.UseRouting（）

app.UseCors();

代码现在应该可以工作了。