401-Antwort für CORS Anfrage in IIS Windows Auth aktiviert

Einige Jahre später, aber durch die Antwort von @dariusriggins und @lex-li ich habe es geschafft, fügen Sie den folgenden code, um meine Globalen.asax:

    public void Application_BeginRequest(object sender, EventArgs e)
    {
        string httpOrigin = Request.Params["HTTP_ORIGIN"];
        if (httpOrigin == null) httpOrigin = "*";
        HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", httpOrigin);
        HttpContext.Current.Response.AddHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        HttpContext.Current.Response.AddHeader("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept, X-Token");
        HttpContext.Current.Response.AddHeader("Access-Control-Allow-Credentials", "true");

        if (Request.HttpMethod == "OPTIONS")
        {
            HttpContext.Current.Response.StatusCode = 200;
            var httpApplication = sender as HttpApplication;
            httpApplication.CompleteRequest();
        }
    }

den httpOrigin ist eigentlich blickte in eine Liste von erlaubten hosts aber, dass nur komplizierte Dinge. Dies bedeutet, dass alle anderen Anforderungen werden validiert, aber Optionen gibt.

Vielen Dank für diese Frage, wäre ich verloren gewesen ohne Sie!

Der einfachste Weg, um dies zu beheben, erstellen Sie eine rewrite-Regel mit der Bedingung request_method = ^ - OPTIONEN$. Legen Sie dann die Aktion, eine eigene Antwort, auf 200 OK. Dann alle Optionen-Anforderungen reagieren mit 200 statt 401. Wird dieses Update die CORS-Problem.

Natürlich müssen Sie noch sicherstellen, dass Sie die richtige cross-origin-request-Header.

Dies wird stop-Optionen, Anträge (die müssen keine Anmeldeinformationen) reagiert mit 401, wenn die integrierte auth aktiviert ist.

Ich habe laufen in gleichen Problem heute aufgrund des Fehlers in IE 10 und 11, ich bin mit ServiceStack statt WebApi, aber der Ansatz kann auch für Sie arbeiten.

1. Aktiviert Windows Integriert und die Anonyme Authentifizierung auf der IIS-Website.
2. Haben eine Reihe von filtern auf dem ServiceStack Pipeline,
   • Für die Handhabung von Cors und OPTIONEN verlangen, Auf Optionen Anfrage, ich fügen Sie die erforderlichen Kopf-und Ende der Anfrage,
   • Filter für die überprüfung auch HttpRequest Authentifiziert ist?,
   • etc filter,

Nachdem Sie durch alle Filter, es führt den Dienst aus.

CorsFeature.cs

AuthenticateFilter

In meinem AppHost,

appHost.Plugins.Add(new CorsFeature());

appHost.RequestFilters.Add(AuthenticateFilter.Authenticate);

Habe ich geändert, die CorsFeature zu handhaben OptionsRequest neben Sie Header hinzufügen, Prüfen-Filter prüfen-Anforderungen authentifiziert!

Ich bin mit der Web API und OWIN und ich habe versucht, jeden Vorschlag, aber das einzige was geklappt hat war den folgenden

//use it in your startup class
app.Use((context, next) =>
{
    if (context.Request.Headers.Any(k => k.Key.Contains("Origin")) && context.Request.Method == "OPTIONS")
    {
        context.Response.StatusCode = 200;
        context.Response.Headers.Add("Access-Control-Allow-Origin", new string[1] { "ALLOWED_ORIGIN" });
        context.Response.Headers.Add("Access-Control-Allow-Headers", new string[4] { "Origin", "X-Requested-With", "Content-Type", "Accept" });
        context.Response.Headers.Add("Access-Control-Allow-Methods", new string[5] { "GET", "POST", "PUT", "DELETE", "OPTIONS" });
        context.Response.Headers.Add("Access-Control-Allow-Credentials", new string[1] { "true" });

        return context.Response.WriteAsync("");
    }

    return next.Invoke();
});

//this is important! Without it, it didn't work (probably because the middleware was too late)
app.UseStageMarker(PipelineStage.Authenticate);

müssen Sie fügen Sie diesen code irgendwo in Ihre OWIN startup-Klassen.
Es ist wichtig zu nennen app.UseStageMarker(PipelineStage.Authenticate) weil sonst die preflight-check fehlgeschlagen.
Weitere infos für UseStageMarker -> https://docs.microsoft.com/en-us/aspnet/aspnet/overview/owin-and-katana/owin-middleware-in-the-iis-integrated-pipeline

Es ist auch wichtig, dass Sie explizit definieren, die erlaubt Header. Es wird scheitern, wenn Sie * als Platzhalter.

Vielleicht hilft es jemanden.

Was für mich gearbeitet (bei der Arbeit mit AngularJS oder JQuery) ist das hinzufügen withCredentials:true, um jeder Anforderung auf dem client:

$http.get("http://localhost:88/api/tests", {withCredentials :true})

Und ermöglicht CORS auf dem server, dies wurde mit Microsoft.Owin.Cors von nuget und hinzufügen in den Autostart wie folgt:

public void Configuration(IAppBuilder app)
    {
        HttpConfiguration config = new HttpConfiguration();

        ConfigureOAuth(app);

        WebApiConfig.Register(config);
        app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);
        app.UseWebApi(config);

    }

Referenzen:

• CORS auf dem server (siehe Schritt 11): http://bitoftech.net/2014/06/01/token-based-authentication-asp-net-web-api-2-owin-asp-net-identity/
• CORS auf dem client: http://brockallen.com/2012/12/15/cors-and-windows-authentication/