iis-7.5 - 启用 Windows 身份验证的 IIS 中 CORS 请求的 401 响应

Question

我正在尝试在我的 WebAPI 项目中启用 CORS 支持，如果启用匿名身份验证，则一切正常，但使用 Windows 身份验证 + 禁用匿名身份验证，发送的 OPTIONS 请求始终返回 401 未经授权的响应。请求它的站点位于 DOMAIN 上，因此应该能够进行调用，有没有办法在不禁用 Windows 身份验证的情况下解决该问题？

Answer 1

您只能允许匿名用户使用 OPTIONS 动词。

<system.web>
  <authentication mode="Windows" />
    <authorization>
      <allow verbs="OPTIONS" users="*"/>
      <deny users="?" />
  </authorization>
</system.web>

根据 W3C 规范，浏览器从 CORS 预检中排除用户凭据:https://dvcs.w3.org/hg/cors/raw-file/tip/Overview.html#preflight-request