ASP.NET Core中CorsPolicy失效的最常见原因是中间件注册顺序错误：UseCors()必须位于UseAuthentication()和UseAuthorization()之后、UseEndpoints()之前；其次为策略名大小写不匹配或Minimal API未正确应用中间件。
ASP.NET Core 里 CorsPolicy 为什么没生效？
最常见原因是注册顺序错了——app.UseCors() 必须放在 app.UseAuthentication() 和 app.UseAuthorization() 之后、app.UseEndpoints() 之前。中间件顺序错一位，CORS 就完全不走策略。
另一个高频坑：用 AddCors() 配了策略，但 UseCors() 没传策略名，或传的名和 AddCors() 里注册的对不上。比如注册时写的是 "AllowAll"，UseCors("allowall") 就会静默失败（大小写敏感）。
-
AddCors()是配置阶段，只定义策略；UseCors()才是启用阶段，必须显式指定策略名或用无参形式启用默认策略 - 如果用
[EnableCors]特性，注意它只对 MVC 控制器/Action 生效，对Minimal API（MapGet等）无效 - 开发环境常用
AllowAnyOrigin()，但上线必须改掉——浏览器会直接拒绝带凭据（credentials: true）的请求，哪怕后端允许了
如何让 Minimal API 支持跨域？
Minimal API 不走 MVC 管道，[EnableCors] 特性无效，只能靠中间件全局控制，或者手动加响应头。
推荐做法是统一用 UseCors() 中间件，但要注意：Minimal API 的 endpoint 映射（如 app.MapGet("/api/data", ...)）必须在 UseCors() 之后调用，否则中间件不覆盖到这些路由。
- 不要在 handler 里手动写
context.Response.Headers.Append("Access-Control-Allow-Origin", "*")—— 这绕过了 CORS 中间件的完整逻辑（比如预检请求处理、凭据校验），容易漏掉Access-Control-Allow-Headers或Access-Control-Max-Age - 如果必须细粒度控制（比如某些 endpoint 允许跨域，某些不允许），就注册多个命名策略，再在
UseCors()前用MapWhen()分流 -
AllowAnyMethod()和WithMethods("GET", "POST")行为不同：前者允许所有方法（包括预检返回的Access-Control-Allow-Methods），后者只列明的方法才被放行
credentials: true 时 AllowAnyOrigin() 会报错？
会。浏览器强制要求：只要前端设置了 credentials: true（比如带 cookie 或 Authorization header），后端就不能用 AllowAnyOrigin()，必须明确指定 origin，比如 WithOrigins("https://example.com")。
否则，.NET 会抛出异常：System.InvalidOperationException: When requesting credentials, the 'Access-Control-Allow-Origin' header cannot be '*'。这不是配置遗漏，是规范级限制。
- 开发时想兼顾本地调试（
http://localhost:3000）和测试环境（https://test.example.com），就用WithOrigins("http://localhost:3000", "https://test.example.com")，别试图用正则或通配符绕过 - 如果 origin 是动态的（比如 SaaS 多租户），得自己写中间件解析
Origin请求头，再白名单匹配——AddCors()不支持运行时判断 -
AllowCredentials()必须和WithOrigins()同时存在，单独调用AllowCredentials()没意义
预检请求（OPTIONS）405 错误怎么查？
典型现象：前端发 POST 带自定义 header（如 X-Request-ID），浏览器先发 OPTIONS，结果返回 405 Method Not Allowed。这是因为 Minimal API 或 MVC 没暴露 OPTIONS endpoint，而 CORS 中间件依赖它来响应预检。
ASP.NET Core 默认不自动处理 OPTIONS，得确保 pipeline 能走到 UseCors() 并完成响应。如果前面有 UseRouting() + UseEndpoints()，且没定义任何 OPTIONS endpoint，预检就会 405。
- MVC 项目中，加一个空的
[HttpOptions]Action 即可（不需要逻辑，只要路由匹配） - Minimal API 下，显式加
app.MapOptions("/api/{**path}", () => Results.Ok())，路径要覆盖实际接口路径 - 检查是否误用了
RequireHost()或UseHttpsRedirection()，它们可能在预检到达UseCors()前就中断了请求
AllowAnyOrigin() + AllowCredentials() 组合，本地看着正常，一上线就被浏览器拦截——这个组合本身就不合法。 
