使用windows身份验证的Asp.net核心web API-Cors请求未经授权

Question

在我的ASP.NET核心web api中，我已经按照MS文档中的文章配置了Cors。web api应用程序正在使用windows身份验证(未启用匿名身份验证)。创建Cor的策略，并在< code>startup.cs中添加中间件，如下所示

public void ConfigureServices(IServiceCollection services)
{
    services.AddCors(options =>
    {
        options.AddPolicy("CorsPolicy",
            builder => builder.WithOrigins("http://localhost:4200")
                .AllowAnyMethod()
                .AllowAnyHeader()
                .AllowCredentials()
            );
    });

    services.AddMvc().AddJsonOptions(options => {
        options.SerializerSettings.ReferenceLoopHandling = ReferenceLoopHandling.Ignore;
    });
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{         
    //Enable CORS policy 
    app.UseCors("CorsPolicy");
    app.UseMvc();
}

还应用了每个控制器级别的策略

[EnableCors("CorsPolicy"), Route("api/[controller]")]
public class LocationController : BaseController<Location>
{
  //code
}

选项请求越来越未经授权。请求

我见过类似的问题，也尝试过几乎所有的解决方案，但选项请求仍然失败。

Answer 1

使用IIS CORS模块很好地解决了这个问题。以下网址仅供参考。

使用Windows身份验证虽然这绝不是CORS模块解决的唯一场景，但它非常重要，值得调用。以前，如果您尝试向使用Windows身份验证的应用程序发出跨域请求，您的飞行前请求将失败，因为浏览器没有随飞行前请求发送凭据。如果不在应用程序中启用匿名身份验证，则无法解决此问题。由于CORS模块在身份验证之前启动，因此可以在不影响应用程序安全模型的情况下处理飞行前请求。这里有一个例子，说明你的网站是什么。配置可能看起来像这样。

https://blogs.iis.net/iisteam/getting-started-with-the-iis-cors-module

示例代码：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <!-- To customize the asp.net core module uncomment and edit the following section. 
         For more info see https://go.microsoft.com/fwlink/?linkid=838655 -->
         <system.web>
        <authentication mode="Windows"/>
    </system.web>
  <system.webServer>
  <cors enabled="true" failUnlistedOrigins="true">
            <add origin="http://localhost:60096" allowCredentials="true" >
            <allowHeaders allowAllRequestedHeaders="true">
                    <add header="Header1" />
                </allowHeaders>
            </add>
        </cors>
    <handlers>
      <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModule" resourceType="Unspecified" />
    </handlers>
    <aspNetCore processPath="dotnet" arguments=".\Project.Api.dll" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" />
  </system.webServer>
</configuration>

Answer 2

1） 在 launchSettings.json 文件（开发设置文件）中将“允许 Windows 和匿名身份验证”标志设置为 true。

匿名身份验证：需要允许预检选项请求。

{
  "iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": true,
    "iis": 
      ...
}

2)在配置服务方法中添加Cors策略。

public void ConfigureServices(IServiceCollection services)
{
         
        ...
          services.AddCors(options =>
              {
                  options.AddPolicy("MyCustomCorsPolicyName",
                              builder => builder.WithOrigins("http://YourDomainName/")
                                      .AllowAnyMethod()
                                      .AllowAnyHeader()
                                      .AllowCredentials()
                              );
              });
          services.AddAuthentication(IISDefaults.AuthenticationScheme);
          services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);      
}
   

3：将CORS中间件添加到您的Web应用程序管道以允许跨域请求。

public void Configure(IApplicationBuilder app)
{
   ....
   app.UseCors("MyCustomCorsPolicyName");
   app.UseMvc();
}

4）在控制器顶部添加Authorize属性以强制，客户端发送凭据

[Authorize]
public class MyAPIController : ControllerBase
{
...
}

5） 在 JQuery 或您正在使用的任何客户端中，将具有凭据属性标志设置为 true

$.ajax({
                type: "POST",
                datatype: "json",  
                url: "YourApiUrl",              
                xhrFields: {
                    withCredentials: true
                }

这适用于我使用.net core 2.2，IIS Express和Windows身份验证的开发环境。

Answer 3

您可能想阅读以下线程：https://github.com/aspnet/CORS/issues/60.您可以混合匿名和NTLM，这样您的CORS预飞行就不会被拒绝（因为它们不包括Windows凭据）。IIS在NTLM身份验证到达中间件之前就处理了它，所以这可能是IIS的事情。您可能需要允许匿名CORs预飞行检查。