CORS是个啥

浏览器为了保证安全，会对脚本操作的站点进行限制，这就是同源策略(Same orgin Policy)。
这里的源，指的就是站点。从细节上来说，如果脚本进行跨站点访问并非不允许，而是在脚本
获取响应数据之前，如果发现时跨站点的，但是又没有得到授权，浏览器就会阻止获取数据的操作。
所以跨域资源共享（Cross-Orgin Resource Sharing）时针对浏览器的，像postman之类的http测试工具
就没有同源策略的限制。更准确的说，这是一个授权的过程。

当JS进行跨域访问的时候，浏览器会在请求头自动加上一个Orgin的报头，当AJAX返回数据之后，
浏览器会对名字叫 Access-Control-Allow-Orgin的报头进行检查。如果 Access-Control-Allow-Orgin
的值时*或者包括当前站点，则可以获取数据，否则浏览器就会阻止获取数据，你的JS就会有一个跨域的报错。
你可以把JS当作消费者，WEBAPI当作生产者，只要生产者同意，消费者自然可以消费。
所以解决跨域的根本上就是http的响应需要增加Access-Control-Allow-Orgin的报头，进行授权。

在asp.net webapi中，可以使用类库方式,使用nuget 安装 aspnet.webapi.cors。
在Global.asax文件中
public class WebApiApplication : System.Web.HttpApplication
{
    protected void Application_Start()
    {

       GlobalConfiguration.Configuration.EnableCors(new MyCorsPolicyProvider());//启用CROS  放在最前面
        
        ///
        
    }
}

//实现一个自定义的CORS规则，这个规则返回一个CorsPolicy对象，这个对象的几个重要属性就对应了HTTP报头的内容。
public class MyCorsPolicyProvider : ICorsPolicyProvider
{
    public Task<CorsPolicy> GetCorsPolicyAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        Task<CorsPolicy> task = Task<CorsPolicy>.Run(() =>
        {
            CorsPolicy corsPolicy = new CorsPolicy();
            corsPolicy.AllowAnyHeader = true;
            corsPolicy.AllowAnyMethod = true;
            corsPolicy.AllowAnyOrigin = true;//Access-Control-Allow-Orgin="*" 
            return corsPolicy;
        });
        return task;
    }
    

还有一种方式，就是在web.config配置自定义报头内容。
<system.webServer>

      <httpProtocol>
          <customHeaders>
              <add name="Access-Control-Allow-Origin" value="*" />
              <add name="Access-Control-Allow-Headers" value="*" />
              <add name="Access-Control-Allow-Methods" value="*" />
          </customHeaders>
      </httpProtocol>
      
<system.webServer>

asp.net core 实现跨域方式

app.UseCors(cors=>cors.AllowAnyMethod()
            .AllowAnyHeader()
            .AllowAnyOrigin());
            
            
这两种方式，一种时类库方式，一种是配置文件方式都可以解决跨域的问题，因为这两种方式的结果就是
在HTTP响应中添加一个Access-Control-Allow-Orgin="*" ,浏览器看到的你得到了授权自然不然拦截了。
使用类库的方式可以对API 管理的很细，可以到控制器和方法，而使用配置文件就不可能管的那么细了。
当使用配置文件的时候，我猜想应该是IIS读取了配置文件，然后IIS自己加了HTTP的报头。如果要简单，
配置文件应该是最简单的实现方式。如果要详细控制，还是要使用类库。