c# - origin - .NET Core UseCors() no agrega encabezados

cors web api net core

Question

Esto sería un duplicado de ¿Cómo funciona el encabezado Access-Control-Allow-Origin? , pero el método allí tampoco funciona para mí. Espero que me esté perdiendo algo.

Estoy tratando de obtener un encabezado Access-Control-Allow-Origin en mi respuesta de mi .NET Core Web API, a la que estoy accediendo a través de AJAX.

He intentado varias cosas. Todos, a menos que se indique lo contrario, han estado en el archivo Startup.cs .

Método 1

Según la documentación de Microsoft :

public void ConfigureServices(IServiceCollection services)
{
    // Add database
    services.AddDbContext<DbContext>(options => options.UseSqlServer(Configuration.GetConnectionString("DbConnection")));

    // Add the ability to use the API with JSON
    services.AddCors();

    // Add framework services.
    services.AddMvc();
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
    loggerFactory.AddConsole(Configuration.GetSection("Logging"));
    loggerFactory.AddDebug();

    if (env.IsDevelopment())
    {
        using (var serviceScope = app.ApplicationServices.GetRequiredService<IServiceScopeFactory>().CreateScope())
        {
            serviceScope.ServiceProvider.GetService<DbContext>().Database.Migrate();
            serviceScope.ServiceProvider.GetService<DbContext>().EnsureSeedData();
        }
    }

    app.UseCors(builder => builder.WithOrigins("https://localhost:44306").AllowAnyMethod());

    app.UseJwtBearerAuthentication(new JwtBearerOptions
    {
        Authority = Configuration["Authentication:AzureAd:AADInstance"] + Configuration["Authentication:AzureAd:TenantId"],
        Audience = Configuration["Authentication:AzureAd:Audience"],
    });

    app.UseMvc();
}

Método 2

public void ConfigureServices(IServiceCollection services)
{
    // ...

    services.AddCors(options => options.AddPolicy("AllowWebApp",
        builder => builder.AllowAnyMethod()
                          .AllowAnyMethod()
                          .AllowAnyOrigin()));
                          //.WithOrigins("https://localhost:44306")));

    // ...
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
    // ...

    app.UseCors("AllowWebApp");

    // ...
}

También intenté agregar [EnableCors("AllowWebApp")] tanto en el controlador como en el método.

De cartero, me sale:

codificación de contenido → gzip
tipo de contenido → texto / plano; charset = utf-8
Fecha → Miércoles, 25 de enero de 2017, 04:51:48 GMT
servidor → Cernícalo
estado → 200
variar → Aceptar-Codificar
x-powered-by → ASP.NET
x-sourcefiles → =? UTF-8? B? [ELIMINADO]

También lo probé en Chrome y obtuve encabezados similares.

Si es importante, el método al que intento acceder tiene un atributo Authorize . Pero esa parte debería estar funcionando bien (al menos tengo una buena respuesta)

Entonces, ¿me estoy perdiendo algo muy obvio, o esto se rompió? Actualmente estoy ejecutando la versión 1.1.0.

Edite agregando JS y Controller Stub

function getContactPreviews(resultsCallback) {
    var xmlhttp = new XMLHttpRequest();

    xmlhttp.onreadystatechange = () => {
        if (xmlhttp.readyState == XMLHttpRequest.DONE && xmlhttp.status == 200) {
            resultsCallback(JSON.parse(xmlhttp.response));
        }
    }

    xmlhttp.open("GET", "https://localhost:44357/api/User/ContactsPreview", true);
    xmlhttp.setRequestHeader("Authorization", "Bearer " + localStorage.getItem("AuthorizationToken"));
    xmlhttp.send();
}

Trozo de controlador

[Authorize]
[Route("api/[controller]")]
public class UserController : ApiController
{
    [HttpGet(nameof(ContactsPreview))]
    [EnableCors("AllowWebApp")]
    public IEnumerable<Customer> ContactsPreview()
    {
        // ...
    }
}

Answer 1

El problema es que cuando utilizo la autenticación de portador (o cualquiera que imagine), agrega un encabezado "Autorización", y el servidor solo dará una autorización si la configuración permite ese encabezado.

Hay dos formas de resolver el problema, y ​​a continuación se muestra el único código necesario. Va en el método Configure() en Startup.cs en la solución de API web.

Método 1: Permitir todos los encabezados

app.UseCors(builder => builder.WithOrigins("https://localhost:44306")
                                .AllowAnyMethod()
                                .AllowAnyHeader());

Método 2: Permitir encabezados específicos

app.UseCors(builder => builder.WithOrigins("https://localhost:44306")
                              .AllowAnyMethod()
                              .WithHeaders("authorization", "accept", "content-type", "origin"));

Los encabezados adicionales son porque, según la documentación:

Los navegadores no son del todo consistentes en cómo establecen Access-Control-Request-Headers. Si configura los encabezados en un valor que no sea "*", debe incluir al menos "aceptar", "tipo de contenido" y "origen", además de los encabezados personalizados que desee.