.Net Core API CORS，仅锁定一个域（Angular 应用程序）

Question

我有一个 .net 核心 api，我只想接受来自一个域的调用。那里托管了一个 Angular 4 应用程序。

我正在创建这样的 cors 策略...

    services.AddCors(options =>
        {
            options.AddPolicy("AllowSpecificOrigin",
                builder => builder.WithOrigins("http://www.test.com").AllowAnyHeader());
        });

并且正在像这样加载它......

  app.UseCors("AllowSpecificOrigin");

我原以为只有来自域上的 Angular 应用程序的调用才能访问 api，但是如果我在 Chrome Postman 中创建调用，我仍然可以直接访问 api。

我做错了什么？我想锁定除 Angular 应用程序之外的所有流量。

这里有更多关于我的 startup.cs 的详细信息...

    public Startup(IHostingEnvironment env)
    {
        var builder = new ConfigurationBuilder()
            .SetBasePath(env.ContentRootPath)
            .AddJsonFile("appsettings.json", true, true)
            .AddJsonFile($"appsettings.{env.EnvironmentName}.json", true)
            .AddEnvironmentVariables();


        Configuration = builder.Build();
    }

    public void ConfigureServices(IServiceCollection services)
    {
        services.AddMvc();
        services.AddCors();

        services.Configure<AppSettings>(Configuration);
    }

    public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
    {
            app.UseCors(builder => builder.WithOrigins(new[] { "http://test.com" }) 
                .AllowCredentials()); 


            app.UseDeveloperExceptionPage();

            app.UseMvc(routes =>
            {
                routes.MapRoute(
                    "default",
                    "{controller=ping}/{action=get}/{id?}");
            });

            app.UseStaticFiles();

        }

Answer 1

反应更容易：

CORS 标头仅在跨域请求 See that example 时发送

所以，当您在本地测试时，它不起作用。尝试将您的应用程序托管在具有域的服务器上并与邮递员通话。它不会起作用。

编辑：

好的，是你的配置文件不正确。您需要将AddCors 放在AddMVC 之前。因为，在执行管道中，框架会按照你在启动时声明的顺序执行..

services.AddCors(options =>
        {
            options.AddPolicy("AllowSpecificOrigin",
                politique => politique.WithOrigins("{yourdomain}").AllowAnyHeader().AllowAnyMethod().AllowCredentials());
        });

eapp.UseCors("AllowSpecificOrigin");