Aspnetcore: HTTP 500, если запрос к конечной точке с поддержкой CORS запрашивается без заголовка источника

Опишите ошибку

Если HTTP-запрос выполняется к конечной точке с поддержкой CORS, где не указан заголовок HTTP-запроса origin , запрос завершается ошибкой HTTP 500.

Исключение в журналах:

[2019-04-13 14:40:04Z] fail: Microsoft.AspNetCore.Diagnostics.DeveloperExceptionPageMiddleware[1]
      An unhandled exception has occurred while executing the request.
System.InvalidOperationException: Endpoint MartinCostello.Api.Controllers.TimeController.Get (API) contains CORS metadata, but a middleware was not found that supports CORS.
Configure your application startup by adding app.UseCors() inside the call to Configure(..) in the application startup code.
   at Microsoft.AspNetCore.Routing.EndpointMiddleware.ThrowMissingCorsMiddlewareException(Endpoint endpoint)
   at Microsoft.AspNetCore.Routing.EndpointMiddleware.Invoke(HttpContext httpContext)
   at Microsoft.AspNetCore.Routing.EndpointRoutingMiddleware.Invoke(HttpContext httpContext)
   at Microsoft.AspNetCore.StaticFiles.StaticFileMiddleware.Invoke(HttpContext context)
   at Microsoft.AspNetCore.HttpOverrides.HttpMethodOverrideMiddleware.Invoke(HttpContext context)
   at Microsoft.AspNetCore.Diagnostics.DeveloperExceptionPageMiddleware.Invoke(HttpContext context)

Однако app.Cors() _было добавлено в приложение до app.UseEndpoints(...) .

Похоже, это было введено номером 9181.

Если в запросе нет заголовка origin , промежуточное ПО CORS пропускается:

https://github.com/aspnet/AspNetCore/blob/b93bc433db66175d2b07b128ec9990f7a4dd7e1b/src/Middleware/CORS/src/Infrastructure/CorsMiddleware.cs#L122 -L125

Однако промежуточное ПО конечной точки находит метаданные CORS на вызываемой конечной точке и проверяет, было ли вызвано промежуточное ПО CORS (что было, но было пропущено как ненужное), ища ключ в HttpContext Предметы. Элемента нет, поэтому создается исключение:

https://github.com/aspnet/AspNetCore/blob/84da613d2c03b6f1c0fa3c01828923ec3415d525/src/Http/Routing/src/EndpointMiddleware.cs#L51 -L55

Ключ, проверяемый промежуточным программным обеспечением конечной точки, добавляется только в том случае, если заголовок origin присутствует в запросе, который находится здесь:

https://github.com/aspnet/AspNetCore/blob/b93bc433db66175d2b07b128ec9990f7a4dd7e1b/src/Middleware/CORS/src/Infrastructure/CorsMiddleware.cs#L140 -L141

Казалось бы, есть два возможных исправления:

1. ПО промежуточного слоя CORS всегда добавляет значение «Я выполнил» к HttpContext.Items или:
2. Промежуточное ПО конечной точки _также_ проверяет заголовок origin если на конечной точке присутствуют метаданные CORS, и выдает исключение только для невызова промежуточного программного обеспечения CORS, если оно присутствует в HTTP-запросе.

Воспроизводить

1. Настройте приложение ASP.NET Core MVC для использования CORS.
2. Добавьте атрибут [EnableCors(...)] в метод контроллера.
3. Запустите приложение.
4. Выполните стандартный HTTP-запрос (например, с помощью cURL) к конечной точке.

Ожидаемое поведение

Запрос считается успешным, если не указан заголовок HTTP-запроса origin .

Дополнительный контекст

.NET Core SDK (reflecting any global.json):
 Version:   3.0.100-preview4-011204
 Commit:    621575bab1

Runtime Environment:
 OS Name:     Windows
 OS Version:  10.0.17763
 OS Platform: Windows
 RID:         win10-x64
 Base Path:   C:\Program Files\dotnet\sdk\3.0.100-preview4-011204\

Host (useful for support):
  Version: 3.0.0-preview4-27612-09
  Commit:  64e9c3e1cd