【ASP.NET编程知识】.NET Core API CORS的实现.docx

在ASP.NET Core中实现CORS（跨源资源共享）是解决前后端分离项目中跨域问题的关键。CORS是一种W3C标准，允许浏览器和服务器通过特定的HTTP头部来决定是否允许跨域请求。相较于JSONP仅支持GET请求，CORS支持包括POST在内的所有HTTP请求类型。 了解CORS的两种请求类型：简单请求和复杂请求。简单请求满足以下条件：请求方法为GET、HEAD或POST，HTTP头部不超过以下几种：Accept、Accept-Language、Content-Language、Content-Type（仅限application/x-www-form-urlencoded、multipart/form-data、text/plain），以及请求的缓存控制和范围请求头。对于简单请求，只需要服务器设置Access-Control-Allow-Origin来指定允许的请求源即可。 在.NET Core API项目中，可以在`Startup.cs`文件中配置CORS。首先在`ConfigureServices`方法中添加CORS服务： ```csharp public void ConfigureServices(IServiceCollection services) { // 添加支持跨域请求 services.AddCors(); } ``` 然后在`Configure`方法中设置允许的请求来源： ```csharp public void Configure(IApplicationBuilder app, IWebHostEnvironment env) { // 设置允许的请求来源，例如：http://localhost:53894 app.UseCors(options => options.WithOrigins("http://localhost:53894")); } ``` 这样，当前端（例如使用jQuery的AJAX）发起GET或POST请求时，只要满足简单请求的条件，服务器就会自动处理跨域请求： ```javascript $.ajax({ type: 'post', url: 'http://localhost:5000/home/fromFormTest', data: { name: 'beck' }, success: function (result) { $('#result').html(result.data); } }); ``` 对于复杂请求，比如POST请求中Content-Type不是上述三种格式，或者设置了自定义头部，浏览器会先发送一个OPTIONS预检请求，询问服务器是否接受实际的请求。服务器需要在OPTIONS响应中包含Access-Control-Allow-Methods、Access-Control-Allow-Headers等头部信息，以指示浏览器可以继续发送实际请求。例如： ```csharp app.UseCors(options => options .AllowAnyOrigin() // 允许任何来源，也可以替换为WithOrigins来指定特定来源 .AllowAnyMethod() // 允许任何HTTP方法 .AllowAnyHeader()); // 允许任何头部 ``` 在.NET Core中，还可以通过策略名称来管理多个CORS策略，或者使用委托来更精确地控制CORS的行为。例如，创建一个允许特定头部的策略： ```csharp services.AddCors(options => { options.AddPolicy("AllowSpecificHeaders", builder => { builder.WithOrigins("http://localhost:53894") .AllowAnyMethod() .AllowCredentials() .AllowAnyHeader(); // 允许特定头部 }); }); ``` 然后在`Configure`方法中使用这个策略： ```csharp app.UseCors("AllowSpecificHeaders"); ``` 总结来说，ASP.NET Core中实现CORS主要涉及`Startup.cs`的配置，通过`AddCors`服务注册和`UseCors`中间件设置，来控制跨域请求的来源、方法和头部。对于复杂请求，需要处理OPTIONS预检请求，并确保服务器返回正确的响应头信息。正确配置CORS后，前后端分离项目中的跨域问题就可以得到解决，使得API能够顺利与不同源的前端应用进行交互。