NET5.0 Blazor WASM CORS 客户端异常

Question

我有一个 Blazor WASM 应用程序和一个 Web Api，供 Blzor 通过 HttpClient 调用。两个程序都在同一台机器上运行（也可以在生产环境中运行，这对于小型企业应用程序来说不应该是异国情调的！）。

从 Blazor 客户端调用 Web Api 会导致客户端 CORS 异常

CORS 政策已阻止从源“https://localhost:5001”获取“http://localhost:4040/”的访问权限：没有“Access-Control-Allow-Origin”标头出现在请求的资源。如果不透明的响应满足您的需求，请将请求的模式设置为“no-cors”以获取禁用 CORS 的资源。

这是本案例的预期行为。

在我以前用 PHP 开发的一个具有相同客户端行为的 api 项目中，我可以通过简单地设置响应标头来绕过 CORS 异常，例如

$response = new Response;
$response->setState(false, $route->command);
...
header("Access-Control-Allow-Origin: *");
echo $response;

现在我想在我的 .net 5.0 Web Api 中使用它。我在互联网上找到了不同的文档来处理类似的问题

https://docs.microsoft.com/de-de/aspnet/core/security/cors?view=aspnetcore-5.0 https://www.c-sharpcorner.com/article/enabling-cors-in-asp-net-core-api-application/ https://docs.microsoft.com/en-us/dotnet/api/microsoft.aspnetcore.cors.infrastructure.corspolicybuilder.withorigins?view=aspnetcore-5.0

并在我的 api 中实现它

    public class Startup {
        //---------------------------------------------------------------------

        public Startup(IConfiguration configuration)
        {
            Configuration = configuration;
        }
        //---------------------------------------------------------------------

        public IConfiguration Configuration { get; }

        //---------------------------------------------------------------------

        // This method gets called by the runtime. Use this method to add services to the container.
        public void ConfigureServices
                    (
                        IServiceCollection services
                    )
                    =>  services
                        .AddCors()
                        .AddSwaggerGen(c => c.SwaggerDoc("v1", new OpenApiInfo { Title = "api", Version = "v1"}) )
                        .AddControllers()
                        ;
        //---------------------------------------------------------------------

        // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
        public void Configure
                    (
                        IApplicationBuilder app,
                        IWebHostEnvironment env
                    )
                    =>  app.
                        apply( _ =>
                        {
                            if (true) //(env.IsDevelopment())
                            {
                                app
                                .UseDeveloperExceptionPage()
                                .UseSwagger()
                                .UseSwaggerUI( c => c.SwaggerEndpoint("/swagger/v1/swagger.json", "api v1") );
                            }
                        })
                        .UseCors( cors =>
                            cors
                            .AllowAnyHeader()
                            .AllowAnyMethod()
                            .SetIsOriginAllowed( _ => true )
                            .AllowCredentials()
                        )
                        .UseHttpsRedirection()
                        .UseRouting()
                        .UseAuthorization()
                        .UseEndpoints( e => e.MapControllers() )
                        ;
        //---------------------------------------------------------------------
    }

甚至尝试在 ApiController 中设置响应头

    [Route("/")]
    [ApiController]
    public sealed class ServertimeController : ControllerBase
    {
        //[EnableCors("AllowOrigin")]
        [HttpGet]
        public Servertime Get() {

            Response.Headers.Add("Access-Control-Allow-Origin", "*");
            Response.Headers.Add("Access-Control-Allow-Methods", "GET, POST, PUT");

            return servertime();
        }
    }

Blazor WASM 客户端看起来像

    private async void onClick()
    {

        var response = await httpClient.GetFromJsonAsync<Servertime> ("http://localhost:4040");
        message = response.servertime;
        this.StateHasChanged();
    }

但它仍然会导致客户端 CORS 异常。 为了绕过这个进行开发，我使用了浏览器扩展“CORS Unblock”，但这不是部署的选项。

避免 Blazor 客户端异常的正确方法是什么， 我错过了什么？

Answer 1

@Dmitriy Grebennikov 的回答也是有效的，但需要进行一些改进以使其更安全。

在Startup.cs的ConfigureServices中，在services.AddControllers();之前添加以下代码

services.AddCors(options =>
            {
                options.AddDefaultPolicy(builder => 
                builder.WithOrigins("https://localhost:44338")
                       .AllowAnyMethod()
                       .AllowAnyHeader());
            }); 

确保您的网址不应以 / 结尾。

---

您可以将多个 url 传递给 WithOrigins 方法。 最后在Startup.cs 的Configure 方法中在app.UseAuthorization(); 之前和app.UseRouting(); 之后添加以下行

app.UseCors();

代码现在应该可以工作了。

Answer 2

只需将其添加到 ConfigureServices 方法中：

services.AddCors(options =>
        {
            options.AddPolicy("DevCorsPolicy", builder =>
            {
                builder
                    .AllowAnyOrigin()
                    .AllowAnyMethod()
                    .AllowAnyHeader();
            });
        });

还有这个配置方法：

app.UseCors("DevCorsPolicy");

Answer 3

var client = new HttpClient();

var request = new HttpRequestMessage
{
    Method = new HttpMethod("GET"),
    RequestUri = new Uri($"{site.BaseUrl}robots.txt")
};

request.Headers.Add("Accept", "text/plain");
request.SetBrowserRequestMode(BrowserRequestMode.NoCors);

var response = await client.SendAsync(request);

var txt = await response.Content.ReadAsStringAsync();

参考文献

• SetBrowserRequestMode
• BrowserRequestMode