ASP.NET Core 中 AddCors 不生效的主因是中间件顺序错误：UseCors 必须在 UseRouting 之后、UseAuthorization 和 UseEndpoints 之前；前端 credentials: true 时 AllowOrigins 不能用 *，须明确指定源；预检通过后 POST 被拦常因未正确配置 WithHeaders 或 WithExposedHeaders；.NET 6+ 需注意 Minimal Hosting 下 builder.Services.AddCors 与 app.UseCors 的分离逻辑。
ASP.NET Core 项目里 AddCors 不生效？检查中间件顺序
绝大多数 cors 配置失败，不是代码写错了，是 usecors 放错了位置。它必须在 userouting 之后、useauthorization 和 useendpoints 之前，否则预检请求（options）根本进不到 cors 管道。
-
UseCors必须紧挨着UseRouting，不能插在UseAuthentication后面或UseEndpoints前面太远 - 如果用了
UseHttpsRedirection，它可以在UseCors前，但不能挡在路由和 CORS 中间 - 启用
app.UseDeveloperExceptionPage()时，别让它干扰 CORS 头——开发环境也要走完整中间件链
前端发了带 credentials: true 的请求，后端却报错“The value of the 'Access-Control-Allow-Origin' header must not be the wildcard '*' when the request's credentials mode is 'include'”
这是硬性限制：只要前端设了 credentials: true（比如带 cookie 或 Authorization header），后端 AllowOrigins 就不能用 "*"，必须明确列出可信源，且要和前端 Origin 完全一致（含协议、端口、大小写）。
- 改用具体域名：
builder.WithOrigins("https://example.com", "http://localhost:3000") - 不要拼接字符串构造 origin，避免协议/端口不匹配；本地开发时
http://localhost:3000和http://127.0.0.1:3000是两个不同源 - 如果需要动态 origin（如多租户 SaaS），得自己写
ICorsPolicyProvider，但要注意绕过校验可能引入安全风险
为什么 OPTIONS 预检通过了，但后续 POST 请求仍被拦截？
常见原因是后端没正确暴露响应头，或者前端请求头触发了预检但服务端没声明允许。浏览器只看 Access-Control-Allow-Headers 是否包含你实际发送的 header（比如 X-Requested-With、Content-Type），哪怕只是发了个 application/json，也得显式允许。
- 确保
WithHeaders包含所有自定义 header：builder.WithHeaders("X-Requested-With", "Content-Type", "Authorization") -
Content-Type的值如果是application/json、text/plain、multipart/form-data以外的类型，一定会触发预检；简单值如application/x-www-form-urlencoded有时也会因浏览器差异触发 - 检查是否漏了
WithExposedHeaders——前端 JS 想读取响应里的X-Total-Count这类自定义 header，后端必须提前声明
Startup.cs 已配置，但 Program.cs（.NET 6+）里怎么写才不踩坑？
.NET 6 起默认用 Minimal Hosting 模型，AddCors 和 UseCors 的调用方式没变，但容易忽略 builder.Services 和 app 的分离逻辑，尤其在 MapControllers 或 MapGroup 后加 RequireCors 时。
- 注册策略仍用
builder.Services.AddCors(options => options.AddPolicy(...)) - 全局启用还是用
app.UseCors("MyPolicy")，别写成app.UseCors(builder => builder...)——那会覆盖掉已注册的命名策略 - 若只对某组 API 开启 CORS，用
RequireCors("MyPolicy")，但注意它必须加在MapControllers之后，且不能和全局UseCors冲突 - Minimal API 下，
MapPost等方法不自动参与 MVC 的 CORS 策略，必须显式调用.RequireCors("MyPolicy")
真正麻烦的不是配 CORS，是搞清哪个环节在丢头、哪个中间件在截断、以及浏览器到底发了几次请求。打开 DevTools 的 Network 面板，盯着每个请求的 Request Headers 和 Response Headers 看，比查文档快得多。
