如何在WebAPI中启用CORS

浏览器安全策略上的安全限制可以有效的阻止 Ajax 向另外一个域server发起请求&＃xff0c;这就是著名的 同源策略&＃xff0c;那如何突破这种限制呢&＃xff1f;可以使用 CORS &＃xff08;Cross-Origin Resource Sharing&＃xff09; 跨域资源共享来解决此类问题&＃xff0c;它是一个 W3C 的标准&＃xff0c;允许你跳出浏览器所采用的同源策略的限制&＃xff0c;即在一个域中请求另外一个域的资源。

你可以在 WebAPI 中使用 Cors包 或者 Owin中间件 来开启CORS&＃xff0c;值得注意的是&＃xff0c;一个完整的 request请求 是由 scheme &＃43; host &＃43; port 三部分组成&＃xff0c;所以根据这三个部分就能判断当前请求是否为同源请求&＃xff0c;如不是的话&＃xff0c;浏览器将会主动进行阻止&＃xff0c;如下代码所示&＃xff1a;

WebAPI 中启用 CORS

要想在 ASP.NET Web API 中启动 CORS&＃xff0c;只需通过 Nuget 安装 Microsoft.AspNet.WebApi.Cors 包即可&＃xff0c;如下代码所示&＃xff1a;


Install-Package Microsoft.AspNet.WebApi.Cors

值得注意的是&＃xff0c;CORS 可以应用到三种作用域上。

• Action 级

• Controller 级

• Global 级

下面就来逐一看一下。

在 Global 级使用 CORS

要想作用到全局&＃xff0c;可以调用 HttpConfiguration 实例下的 EnableCors() 方法即可&＃xff0c;如下代码所示&＃xff1a;

public static class WebApiConfig{public static void Register(HttpConfiguration config){// Web API configuration and servicesstring origin &＃61; "http://localhost:50164/IDGWebClient/";EnableCorsAttribute cors &＃61; new EnableCorsAttribute(origin, "*", "GET,POST");config.EnableCors(cors);}}

从上面的代码可以看出&＃xff0c;origin 指定了可以被跨域的请求&＃xff0c; * 指定了可被允许的header头信息&＃xff0c;GET,POST 则表示可以接收的 Http Method。

在 Controller 级使用 CORS

要想在 Controller 级上启用&＃xff0c;很简单&＃xff0c;只需在 xxxxController 中打上 EnableCors 标记即可&＃xff0c;如下代码所示&＃xff1a;

[EnableCors(origins: "http://localhost:50164/", headers: "*", methods: "*")]public class ValuesController : ApiController{// GET api/valuespublic IEnumerable Get(){return new string[] { "value1", "value2" };}}

在 Action 级使用 CORS

类似的&＃xff0c;你也可以将 EnableCors 应用到 Action 级别&＃xff0c;下面的代码展示了如何去使用。

public class ValuesController : ApiController{[EnableCors(origins: "http://localhost:50164/", headers: "*", methods: "*")]public IEnumerable Get(){return new string[] { "value1", "value2" };}}

禁用特定的 Action 上的 CORS

当我们将 CORS 应用到了 Global 级别后&＃xff0c;有时候为了安全需要&＃xff0c;必须关闭某些 Action 的 CORS&＃xff0c;这里使用 DisableCors 特性即可&＃xff0c;下面的代码展示了如何去禁用。

public class ValuesController : ApiController{[DisableCors()]public IEnumerable Get(){return new string[] { "value1", "value2" };}}

当然&＃xff0c;如果你使用的是 ASP.NET Core&＃xff0c;可以通过 Nuget 将 Microsoft.AspNetCore.Cors 包 引入到项目中&＃xff0c;然后在 Startup.cs 中做如下配置即可。


public void ConfigureServices(IServiceCollection services)
{services.AddCors();
}

译文链接&＃xff1a;https://www.infoworld.com/article/3173363/how-to-enable-cors-on-your-web-api.html