IdentityServer3 - 無効な CORS パスのため拒否されました質問する

Question

CORS は悪夢です。これはブラウザの問題であり、IE と Chrome で異なる動作が発生するのはそのためです。

サーバー上で CORS を構成する方法は (少なくとも) 2 つあります。クライアントがヘッダー付きのリクエストを行うときは、それを受け入れるかどうかをサーバーに伝える必要があります。受け入れた場合、サーバーはブラウザーへの応答にヘッダーOriginを追加します。Access-Control-Allow-Origin

MVC / webAPI では、CORS サービスを追加し、CORS ポリシーを設定して、.UseCors次のようにする必要があります。

builder.Services.AddCors((options =>
            {
                if (settings.AllowedCorsOrigins.Length > 0)
                {
                    options.AddDefaultPolicy(builder => 
                    { 
                        builder.SetIsOriginAllowedToAllowWildcardSubdomains();
                        builder.AllowAnyHeader().AllowAnyMethod().WithOrigins(settings.AllowedCorsOrigins); 
                    });
                }
                if (isDevelopment)
                {
                    options.AddPolicy("localhost", builder => 
                    {
                        builder.SetIsOriginAllowedToAllowWildcardSubdomains();
                        builder.AllowAnyHeader().AllowAnyMethod().SetIsOriginAllowed((string origin) => { return origin.Contains("localhost"); }); });
                    }
            });

そして

            app.UseCors();
            if (app.Environment.IsDevelopment())
            {
                app.UseCors("localhost");
            }

通常、許可されたホストのリストは、内の文字列の配列として必要ですappsettings.json。また、の罠には注意してくださいSetIsOriginAllowedToAllowWildcardSubdomains。

これに加えて、IdentityServerには独自の追加のCORS設定があり、加えて標準のMVC/webAPI設定に。これらは表に記載されており、ワイルドカードサブドメインはサポートされていません。このようなものを実装して、同じ設定を使用することで、ClientCorsOriginこの罠を回避することができます。ICorsPolicyServiceappsettings.json

    public class CorsPolicyService : ICorsPolicyService
    {
        private readonly CorsOptions _options;

        public CorsPolicyService(IOptions<CorsOptions> options)
        {
            _options = options.Value;
        }

        private bool CheckHost(string host)
        {
            foreach (string p in _options.AllowedCorsOrigins)
            {
                if (Regex.IsMatch(host, Regex.Escape(p).Replace("\\*", "[a-zA-Z0-9]+"))) // Hyphen?
                {
                    return true;
                }
            }
            return false;
        }

        public Task<bool> IsOriginAllowedAsync(string origin)
        {
            return Task.FromResult(CheckHost(origin));
        }
    }

Answer 1