【个人博客搭建】（19）Cors跨域配置

跨域，通常是指浏览器的同源策略限制所导致的一个问题。同源策略是一种安全特性，用于防止恶意站点从另一个站点读取敏感数据。在现代web开发中，尤其是采用前后端分离架构的应用，经常会遇到需要允许其他网站向自己的应用发出跨源请求的情况。.NET Core提供了多种方式来配置跨域资源共享（CORS），以解决这一问题。以下是关于跨域问题的相关介绍：

1. 启用CORS的方法

   • 全局配置：通过在Startup类的ConfigureServices方法中添加CORS服务，并在Configure方法中应用这些服务来实现全局的跨域配置。
   • 特定终结点：可以将CORS策略应用于所有控制器终结点，或者针对特定的终结点进行配置，提供更细粒度的控制。

2. 配置CORS的策略

   • 允许所有来源：通过配置策略以允许来自任何源的请求，这在某些情况下可以简化开发和测试过程。
   • 限制特定来源：出于安全考虑，通常会限制只有特定的源才能访问API，这样可以防止未授权的第三方访问敏感数据。

3. 使用配置文件

   • 动态配置源：可以通过配置文件来管理允许跨域的源列表，这样在需要添加或修改允许跨域的源时，无需更改代码即可实现。

4. 中间件的顺序

   • 正确放置CORS中间件：在管道中添加CORS中间件时，必须确保其位于正确的位置，例如，在使用路由和认证中间件之前应用CORS策略。

5. 预检请求的处理

   • 处理OPTIONS请求：浏览器在发出非简单请求之前，会先发送一个预检请求。服务器需要正确处理这种请求，以通知浏览器允许的HTTP方法和头部字段。

6. 代码与IIS配置

   • 两种方式实现：除了在代码中配置CORS之外，还可以通过IIS配置来实现跨域，这在某些部署场景下可能更为适用。

此外，在使用CORS时，还应注意以下几点：

• 安全性考虑：虽然CORS提供了一种放宽同源策略的机制，但它本身并不是一种安全功能。因此，在配置CORS时，应仔细考虑哪些源应该被允许访问，以避免潜在的安全风险。
• 缓存的影响：当使用响应缓存时，应在添加CORS中间件之前配置缓存，以确保CORS策略的正确应用。
• 方法和头部字段：在配置CORS策略时，应根据实际需要允许适当的HTTP方法和头部字段，以满足应用程序的需求，同时不过度开放接口。

总的来说，.NET Core提供了灵活的配置选项来处理跨域问题，开发者可以根据应用的安全需求和架构特点选择合适的方法和策略。通过合理配置CORS，可以在保证安全的前提下，实现不同源之间的资源交互和数据共享。

1、json配置文件 

  /* Cors跨域配置 */
  "Cors": {
    "Enabled": true,//固定
    "Urls": [
      "http:localhost:5173",
      "http:localhost:5174",
      "http:localhost:8080"
    ]
  }

2、Program.cs 入口文件：

//读取json
var corsEnabled = AppSettings.app(new string[] { "Cors", "Enabled" });//固定true
var corsUrlsList = AppSettings.app<string>("Cors", "Urls").ToArray();
//设置
builder.Services.AddCors(options =>
{
    options.AddPolicy("BlogCorsPolicy", opt => opt
        .WithOrigins(corsUrlsList)// 允许来自指定域名的请求
        .AllowAnyHeader()// 允许任何请求头
        .AllowAnyMethod()// 允许任何HTTP方法
        );
});

3、应用

app.UseCors("BlogCorsPolicy"); // 应用CORS策略

4、其他：

        4.1、具体针对不同的情况可以设置不同的策略方式

        ......