CORS 在 ASP.NET Web API 2 应用程序中不起作用

Question

你知道，通常情况下：CORS 不起作用。 Chrome 为我提供了这个：

Fetch API 无法加载 https://url-to-my-api-thing。不 'Access-Control-Allow-Origin' 标头出现在请求的 资源。原点 'https://url-to-the-origin-thing' 因此不是 允许访问。如果不透明的响应满足您的需求，请将 请求模式为“no-cors”以获取禁用 CORS 的资源。

我有一个使用 OWIN 管道并托管在 IIS 中的 ASP.NET Web API 2 应用程序。

这是我（尝试）在 Configuration 方法中设置 CORS 的方法：

// ... container setup above, CORS is the first middleware ...

var corsPolicyProvider = new CorsPolicyProvider(_corsOrigins, container.GetInstance<ILogger>);
app.UseCors(new CorsOptions
{
    PolicyProvider = corsPolicyProvider
});

app.UseStageMarker(PipelineStage.Authenticate);

configuration.Services.Replace(typeof(IExceptionHandler), new PassThroughExceptionHandler());
configuration.MapHttpAttributeRoutes();
app.UseWebApi(configuration);

这就是我的CorsPolicyProvider 类的样子：

public class CorsPolicyProvider : ICorsPolicyProvider
{
    private readonly Regex _corsOriginsRegex;
    private readonly string _defaultCorsOrigin;
    private readonly Func<ILogger> _scopedLoggerCreator;

    public CorsPolicyProvider(string corsOrigins, Func<ILogger> scopedLoggerCreator)
    {
        _corsOriginsRegex = new Regex($"({corsOrigins})", RegexOptions.IgnoreCase);
        _defaultCorsOrigin = corsOrigins?.Split('|').FirstOrDefault();
        _scopedLoggerCreator = scopedLoggerCreator;
    }

    public Task<CorsPolicy> GetCorsPolicyAsync(IOwinRequest request)
    {
        var logger = _scopedLoggerCreator();

        var allowedOrigin = _defaultCorsOrigin;
        string[] origins;
        request.Headers.TryGetValue("Origin", out origins);
        var origin = origins?.FirstOrDefault();
        if (origin != null && Uri.IsWellFormedUriString(origin, UriKind.Absolute) && _corsOriginsRegex.IsMatch(new Uri(origin).Host))
            allowedOrigin = origins.FirstOrDefault();

        var policy = new CorsPolicy
        {
            Origins = { allowedOrigin },
            Methods = { HttpMethod.Get.Method, HttpMethod.Post.Method, HttpMethod.Put.Method, HttpMethod.Delete.Method },
            Headers = { "accept", "content-type" },
            SupportsCredentials = true,
            PreflightMaxAge = 1728000
        };

        logger?.Verbose("Resolving CORS policy: {@CorsPolicy}", policy);

        return Task.FromResult(policy);
    }
}

为什么此政策从未触发，或者充其量是出现故障？如果我在本地测试时设置断点并显式发送OPTIONS 请求，它会进入GetCorsPolicyAsync 方法，并且还会按预期记录请求。但是，当 API 在服务器上并且我尝试从 Chrome 中的网站调用它时，它从不记录请求，它只是告诉我没有 CORS 标头。

Answer 1

...就像发条一样，当我在上面发布一些内容时，我就找到了答案。 有一个 CORS 标头，并且请求 正在被记录，但是环境的配置错误，所以来源（然后由于它是不同的环境而无效）被正确阻止，日志最终出现在错误的服务器上。修正了配置，它再次按预期工作。