AddCors必须放在UseRouting之后、UseEndpoints之前，因为CORS中间件依赖路由解析结果匹配策略；顺序颠倒会导致策略不生效或被跳过。
直接在后端启用 CORS 是最稳妥的跨域解法，但不是加几行代码就完事——AddCors 配置错顺序、漏掉 UseCors、或用 AllowAnyOrigin() 搭配凭据（credentials），都会导致请求静默失败或被浏览器拒绝。
为什么 AddCors 必须放在 UseRouting 之后、UseEndpoints 之前？
CORS 中间件依赖路由解析结果来判断是否匹配策略。如果注册顺序颠倒，比如写在 UseRouting 前面，中间件根本收不到路由信息，策略不会生效；写在 UseEndpoints 后面，则可能被终结响应跳过。
正确顺序示例（.NET 6+）：
var builder = WebApplication.CreateBuilder(args);
builder.Services.AddCors(options =>
{
options.AddPolicy("MyPolicy", policy =>
policy.WithOrigins("http://localhost:5173")
.AllowAnyHeader()
.AllowAnyMethod());
});
// ↓ 必须在这之后
builder.Services.AddControllers();
var app = builder.Build();
app.UseHttpsRedirection();
app.UseRouting(); // ← 关键位置
app.UseCors("MyPolicy"); // ← 必须在 UseRouting 之后、UseEndpoints 之前
app.UseAuthentication();
app.UseAuthorization();
app.MapControllers();
-
UseCors必须紧接在UseRouting后，不能塞进中间件链末尾 - 如果用了
MapControllerRoute或 Razor Pages，也要确保UseCors在它们之前 - 策略名（如
"MyPolicy"）必须和UseCors传入的字符串完全一致，大小写敏感
WithOrigins 不能写 "*" 却又带凭据怎么办？
浏览器明确禁止：当响应头含 Access-Control-Allow-Credentials:true（即前端设了 credentials: 'include'）时，Access-Control-Allow-Origin 不允许为 "*"。此时若用 AllowAnyOrigin()，请求会直接被拦在预检（OPTIONS）阶段，控制台只报“CORS header ‘Access-Control-Allow-Origin’ cannot match wildcard”。
解决方式只有两个：
- 前端去掉
credentials: 'include'（不推荐，登录态拿不到 cookie） - 后端改用明确白名单：
.WithOrigins("https://myapp.com", "http://localhost:3000") - 开发环境可临时加 localhost 变体：
.WithOrigins("http://localhost:5173", "http://127.0.0.1:5173")（注意：localhost 和 127.0.0.1 被视为不同源）
为什么 OPTIONS 请求 405 或返回空响应？
常见于控制器上误加了 [HttpOptions]，或没启用 AllowAnyMethod()。CORS 预检请求是浏览器自动发的 OPTIONS，不需要你手动写 Action 处理它——只要策略里声明了 .AllowAnyMethod() 或明确列出 .WithMethods("GET", "POST", "OPTIONS")，框架就会自动响应预检。
- 删掉所有手写的
[HttpOptions]方法，它们反而会干扰默认行为 - 检查策略是否调用了
.AllowAnyMethod()或.WithMethods(...)；仅用.AllowAnyHeader()不够 - 若用的是
[EnableCors]特性，确认该特性绑定的策略名存在且配置完整
真正容易被忽略的点是：跨域策略对静态文件（如 /favicon.ico、/index.html）默认不生效。如果你的前端请求路径碰巧落在静态文件中间件处理范围内（比如没走 API controller），UseCors 就压根不会触发。这时候得靠 UseStaticFiles 的 OnPrepareResponse 手动加头，或者确保 API 路由明确落在 MapControllers 范围内。
