能否为IIS CORS模块的响应添加Access-Control-Allow-Private-Network响应头以适配Chrome 98私有网络访问CORS场景？

针对你遇到的Chrome 98+私有网络访问（Private Network Access）预飞请求失败问题，以及无法通过IIS CORS模块添加Access-Control-Allow-Private-Network: true响应头的情况，这里有几个可行的服务器端解决方案，其中最简便的是利用IIS URL重写模块来追加这个关键头：

方法1：使用IIS URL重写模块添加响应头 #

IIS CORS模块确实不支持直接配置Access-Control-Allow-Private-Network头，但我们可以借助URL重写的出站规则，在CORS模块处理完请求后，将这个头追加到响应中。具体步骤如下：

1. 首先确保你的IIS服务器安装了URL重写模块（如果没有，可从IIS管理器的“模块”板块安装，或通过Web平台工具下载）。

2. 打开应用的web.config文件，在<system.webServer>节点下添加以下配置：

<rewrite>
  <outboundRules>
    <rule name="Add Private Network Access Header" enabled="true">
      <match serverVariable="RESPONSE_Access-Control-Allow-Private-Network" pattern=".*" negate="true" />
      <conditions>
        <!-- 仅在存在CORS允许源头时添加，确保只作用于CORS响应 -->
        <add input="{RESPONSE_Access-Control-Allow-Origin}" pattern=".*" />
      </conditions>
      <action type="Rewrite" value="true" />
    </rule>
  </outboundRules>
</rewrite>

这个规则的作用是：当响应中已经存在Access-Control-Allow-Origin头（说明是CORS相关响应），且还没有Access-Control-Allow-Private-Network头时，自动添加该头并设置为true。

3. 保存web.config后，重启IIS站点或应用池使配置生效。

4. 测试验证：发送OPTIONS预飞请求到你的应用，检查响应头中是否包含Access-Control-Allow-Private-Network: true。

方法2：自定义IIS HTTP模块（进阶方案） #

如果你有开发能力，也可以编写一个自定义的IIS HTTP模块，在响应阶段插入这个头。这种方式更灵活，但需要部署和注册模块，步骤相对复杂：

• 创建一个实现IHttpModule的.NET类，在EndRequest事件中添加响应头：

public class PrivateNetworkAccessModule : IHttpModule
{
    public void Init(HttpApplication context)
    {
        context.EndRequest += OnEndRequest;
    }

    private void OnEndRequest(object sender, EventArgs e)
    {
        var response = ((HttpApplication)sender).Response;
        // 仅在CORS响应中添加
        if (!string.IsNullOrEmpty(response.Headers["Access-Control-Allow-Origin"]) &&
            string.IsNullOrEmpty(response.Headers["Access-Control-Allow-Private-Network"]))
        {
            response.AddHeader("Access-Control-Allow-Private-Network", "true");
        }
    }

    public void Dispose() { }
}

• 将编译后的DLL部署到应用的bin目录，然后在web.config中注册模块：

<system.webServer>
  <modules>
    <add name="PrivateNetworkAccessModule" type="YourNamespace.PrivateNetworkAccessModule" />
  </modules>
</system.webServer>

临时用户侧Workaround（不推荐长期使用） #

如果服务器端配置暂时无法修改，可以告知用户：

• 在Chrome地址栏输入chrome://flags/#private-network-access-preflight，将该选项设置为Disabled（注意：Chrome 101+这个选项可能被移除，仅作临时应急）
• 或者使用Chrome的隐身模式临时绕过缓存和身份验证状态

关键说明 #

• 为什么直接在customHeaders中添加不生效？因为IIS CORS模块会优先处理CORS请求，并且在响应阶段会覆盖或阻止自定义头在CORS场景下的生效，而URL重写出站规则是在响应发送前的最后一步执行，所以能成功追加头。
• 配置后，用户返回办公室无需清除缓存即可正常访问，因为预飞请求会得到正确的Access-Control-Allow-Private-Network头，Chrome会认可私有网络访问的合法性。

内容的提问来源于stack exchange，提问作者John Hoven