asp.net - Web Api 2中的子域CORS

Question

我正在使用WebApi，就像从http://t.co/mt9wIL8gLA中学到的一样

如果我确切知道客户请求的完美来源URI，那么一切都很好。
太糟糕了，我正在编写企业范围的API，因此我的要求是
http://apps.contoso.com/myApp/api/foobar

可能来自我域中的所有应用，例如:

http://apps.contoso.com/CRMApp

http://apps.contoso.com/XYZ

http://www.contoso.com/LegacyApp

http://test.contoso.com/newApps/WowApp
...
以及我的企业构建的所有新应用。

解决此问题的最佳方法是什么？使用Origins="*"很俗气，将源添加到我的WS源中，而重新部署又很俗气。

我当前的解决方案是在http://www.asp.net/web-api/overview/security/enabling-cross-origin-requests-in-web-api#cors-policy-providers中编写自定义的CorsPolicyAttribute

并从web.config中的appsettings读取允许的来源。
最好是在自定义属性内，检查请求Origin: header 是否来自contoso.com(可能带有正则表达式)，然后将其添加到允许的起源中。

我想知道是否有更好，更标准的方法。

Answer 1

使用DynamicPolicyProviderFactory。那就是我使用的...前几天我什至发布了一个question，它展示了如何将允许的域添加到web.config文件中。