问题源于您的 Angular 代码：

当withCredentials设置为 true 时，它​​会尝试将凭据或 cookie 与请求一起发送。由于这意味着另一个源可能会尝试执行经过身份验证的请求，因此不允许将通配符（“*”）作为“Access-Control-Allow-Origin”标头。

您必须在“Access-Control-Allow-Origin”标头中使用发出请求的源明确响应才能使其工作。

我建议将您希望允许发出经过身份验证的请求的来源明确列入白名单，因为简单地响应来自请求的来源意味着如果用户碰巧有一个有效的会话，任何给定的网站都可以向您的后端发出经过身份验证的调用。

我在不久前写的这篇文章中解释了这些东西。

因此，您可以设置withCredentials为 false 或实施源白名单，并在涉及凭据时使用有效源响应 CORS 请求

如果您正在使用 CORS 中间件并且想要发送withCredentials布尔值 true，则可以像这样配置 CORS：

var cors = require('cors');    
app.use(cors({credentials: true, origin: 'http://localhost:5000'}));

`

为 Angular 5 和 Spring Security 定制 CORS（基于 Cookie 的解决方案）

在 Angular 方面，需要withCredentials: true为 Cookie 传输添加选项标志：

constructor(public http: HttpClient) {
}

public get(url: string = ''): Observable<any> {
    return this.http.get(url, { withCredentials: true });
}

在 Java 服务器端需要添加CorsConfigurationSource配置 CORS 策略：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    CorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        // This Origin header you can see that in Network tab
        configuration.setAllowedOrigins(Arrays.asList("http:/url_1", "http:/url_2")); 
        configuration.setAllowedMethods(Arrays.asList("GET","POST"));
        configuration.setAllowedHeaders(Arrays.asList("content-type"));
        configuration.setAllowCredentials(true);
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and()...
    }
}

方法configure(HttpSecurity http)默认将corsConfigurationSource用于http.cors()

如果您使用 .NET Core，则在 Startup.CS 中配置 CORS 时必须使用 .AllowCredentials()。

配置服务内部

services.AddCors(o => {
    o.AddPolicy("AllowSetOrigins", options =>
    {
        options.WithOrigins("https://localhost:xxxx");
        options.AllowAnyHeader();
        options.AllowAnyMethod();
        options.AllowCredentials();
    });
});

services.AddMvc();

然后在配置内部：

app.UseCors("AllowSetOrigins");
app.UseMvc(routes =>
    {
        // Routing code here
    });

对我来说，正是缺少 options.AllowCredentials() 导致了您提到的错误。对于其他也有 CORS 问题的人来说，作为一般的旁注，顺序很重要，并且 AddCors() 必须在 Startup 类中的 AddMVC() 之前注册。

如果有帮助，我在我的 reactjs 应用程序中使用了离心机，并且在检查了下面的一些评论后，我查看了离心机.js 库文件，在我的版本中，它具有以下代码片段：

if ('withCredentials' in xhr) {
 xhr.withCredentials = true;
}

删除这三行后，该应用程序运行正常，正如预期的那样。

希望能帮助到你！