使用 CORS 限制 WebApi 端点

Question

我创建了一个 WebApiApplication 项目。

在我的 WebApiConfig.cs 中，我的注册方法如下所示 -

    public static void Register(HttpConfiguration config)
    {
        // Web API configuration and services
        var json = config.Formatters.JsonFormatter;

        json.SerializerSettings.PreserveReferencesHandling = Newtonsoft.Json.PreserveReferencesHandling.Objects;

        json.SerializerSettings.ContractResolver = new CamelCasePropertyNamesContractResolver();

        config.Formatters.Remove(config.Formatters.XmlFormatter);

        string origins = GetAllowedOrigins();
        var cors = new EnableCorsAttribute(origins, "*", "*");
        config.EnableCors(cors);

        // Web API routes
        config.MapHttpAttributeRoutes();

        config.Routes.MapHttpRoute(
            name: "ActionApi",
            routeTemplate: "api/{controller}/{action}/{id}",
            defaults: new { id = RouteParameter.Optional }
        );
    }

然后尝试通过添加来限制所有请求 -

    private static string GetAllowedOrigins()
    {
        return "http://www.example.com";
    }

我不明白为什么，但是当我将 api 部署到我的托管服务器时，允许对端点的所有请求，无论它们来自何处。

我尝试了不同的路线（删除了我之前的更改）并通过添加来编辑 web.config -

<httpProtocol>
  <customHeaders>
    <add name="Access-Control-Allow-Origin" value="http://www.example.com" />
  </customHeaders>
</httpProtocol>

再次接受来自我本地机器的任何请求，即使它们不是来自"http://www.example.com" 。

我尝试的最后一件事是将以下内容添加到我的 controller -

[EnableCors(origins: "http://www.example.com", headers: "*", methods: "*")]
public class MyController : ApiController

然而，所有的请求都被接受了。 我的理解是，如果我专门定义了原始 URL，那么所有其他 URL 都应该失败，我哪里出错了？