ASP.NET Core 6+ 默认不启用CORS，必须在Program.cs中先调用AddCors注册命名策略（如"AllowFrontend"），再于UseRouting之后、MapControllers之前调用UseCors("AllowFrontend")；WithOrigins("*")与AllowCredentials()不可共用，因浏览器强制要求凭据模式下Origin不能为通配符。
ASP.NET Core 6+ 默认完全不处理跨域请求，前端发请求直接被浏览器拦截，不是代码写错了，是服务端压根没声明“我允许谁来调用我”——必须在 Program.cs 里显式注册策略、挂载中间件，且顺序和参数组合稍有偏差就会失败。
为什么 app.UseCors() 放错位置就 401 或 404？
CORS 中间件依赖路由解析，但会被认证/授权中间件提前终结。OPTIONS 预检请求不带 token，如果 app.UseCors() 放在 app.UseAuthentication() 或 app.UseAuthorization() 之后，它根本收不到请求，直接被拒绝返回 401。
-
app.UseRouting()必须最先调用（它把请求路径映射成 endpoint） -
app.UseCors("MyPolicy")必须紧接其后，不能穿插任何需要认证的中间件 -
app.UseAuthentication()和app.UseAuthorization()可以放在 UseCors 之后，但不能反过来 - 如果控制器加了
[RequireAuthorization]，预检请求仍能通过——因为 CORS 是在授权前处理的
WithOrigins("*") 和 AllowCredentials() 为什么不能共存？
这是浏览器强制规范，不是 ASP.NET Core 的限制。只要响应头里有 Access-Control-Allow-Credentials: true（即调用了 .AllowCredentials()），Access-Control-Allow-Origin 就不能是 "*"，否则浏览器静默丢弃整个响应，控制台只报错：
The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'
- 开发时写死
.WithOrigins("https://localhost:5173")（Vite 默认端口）或"http://localhost:3000"（React/Vue CLI） - 生产环境别硬编码，改用配置项：
.WithOrigins(builder.Configuration.GetSection("AllowedOrigins").Get<string>() ?? Array.Empty<string>())</string></string> - 真要支持多个源，传字符串数组：
.WithOrigins("https://a.com", "https://b.com")，别拼"*"
OPTIONS 预检失败，怎么快速验证是否走通 CORS？
浏览器对非简单请求（如带 Content-Type: application/json、自定义 header、PUT/DELETE 方法）会先发一个 OPTIONS 请求。如果它 404 或 405，说明根本没走到 CORS 中间件。
- 用 curl 手动触发预检：
curl -X OPTIONS -I http://localhost:5000/api/values，检查响应头是否含Access-Control-Allow-Origin - 确认没其他中间件提前终结：比如
app.UseStaticFiles()对 /api 路径无效，但若配了通配路由或自定义异常处理，可能吞掉 OPTIONS - 禁用所有非必要中间件，只留
UseRouting → UseCors → MapControllers，跑通后再逐个加回 - 不要在控制器上同时用
[EnableCors]和全局app.UseCors()，策略会冲突
为什么 AddCors() 写了但 UseCors() 不生效？
最常见的情况是只注册了服务，没启用中间件。ASP.NET Core 不会自动把 CORS 策略注入管道，builder.Services.AddCors() 只是“准备好了策略”，app.UseCors("MyPolicy") 才是“真正打开闸门”。
- 检查
Program.cs是否漏掉app.UseCors("MyPolicy")这一行（注意策略名大小写和引号必须完全一致） - 确保策略名在
AddPolicy("MyPolicy", ...)和UseCors("MyPolicy")中完全匹配 - 如果用了
MapControllers()，UseCors()必须在它之前；如果用了UseEndpoints()，则必须在endpoints.MapControllers()之前 - 启动时报错 “CORS middleware not found” 就是只调了
AddCors()没调UseCors()
真正卡住人的从来不是“怎么配”，而是“哪里配错”——策略名拼错一个字母、UseCors() 多缩进了一层、开发时随手写了 "*" 又忘了删，这些细节比逻辑更致命。
