启用Windows身份验证的IIS中针对CORS请求的401响应

Question

我正在尝试在我的WebAPI项目中启用CORS支持，并且如果启用了匿名身份验证，那么一切正常，但是使用Windows Auth +禁用匿名身份验证，发送的OPTIONS请求始终返回401未经授权的响应。要求它的站点位于DOMAIN上，因此应该可以拨打电话，是否有任何方法可以在不禁用Windows身份验证的情况下解决此问题？

Answer 1

从MS：

如果禁用匿名身份验证，则设计使IIS会向任何请求返回401。如果他们启用了Windows身份验证，则在这种情况下，401响应将具有WWW-Authenticate标头，以允许客户端启动身份验证握手。然后，问题就变成了客户所使用的客户端是否可以进行Windows身份验证。

最后，似乎可能存在一个潜在的问题，即是否可以配置URL，以便允许对一个动词（在这种情况下为OPTIONS）进行匿名访问，但要求对其他动词进行Windows身份验证。IIS不通过简单的配置支持此功能。通过启用匿名身份验证和Windows身份验证，在拒绝访问匿名用户的内容上设置ACL，然后为所讨论的URL配置处理程序映射，以使其不验证是否存在该URL，就可以实现此行为。与URL关联的文件。但是要确认这一点需要花费一些时间。