如何通过web.config在IIS上配置CORS？仍遇503错误求解决方案

先揪出503错误的根源 #

503本质是服务不可达，别先盯着CORS，先确认基础问题：

• 检查React应用请求的目标URL，有没有拼错域名、端口，或者生产环境路径和本地不一致的情况。
• 直接在服务器本机用Postman/curl调用API，确认服务本身能正常响应，排除程序崩溃、端口被占用的问题。

针对CORS+web.config的调整方案 #

既然本地CORS配置正常，线上失效大概率是IIS的web.config没正确传递请求，或者覆盖了你的配置：

1. 确保web.config里ASP.NET Core模块配置正确 #

在<system.webServer>节点下补充或修改配置，保证请求能正确转发到.NET Core程序：

<system.webServer>
  <handlers>
    <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModuleV2" resourceType="Unspecified" />
  </handlers>
  <aspNetCore processPath="dotnet" arguments=".\YourApp.dll" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" hostingModel="inprocess" />
  <httpProtocol>
    <customHeaders>
      <!-- 先加全局CORS头和Program.cs配置互补，固定域名别用*，更安全 -->
      <add name="Access-Control-Allow-Origin" value="http://localhost:3000" />
      <add name="Access-Control-Allow-Headers" value="Content-Type, Authorization" />
      <add name="Access-Control-Allow-Methods" value="GET, POST, PUT, DELETE, OPTIONS" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

2. 处理OPTIONS预检请求 #

浏览器发CORS请求前会先OPTIONS预检，必须确保服务器能正确响应：

• 先把Program.cs的CORS配置补全，明确允许OPTIONS方法：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowReact",
        policy =>
        {
            policy.WithOrigins("http://localhost:3000") // 替换成你的React实际域名
                  .AllowAnyHeader()
                  .AllowAnyMethod()
                  .AllowCredentials(); // 带Cookie/认证信息时加上
        });
});

// 注意UseCors的位置：在UseRouting之后，UseAuthorization之前
app.UseRouting();
app.UseCors("AllowReact");
app.UseAuthorization();

• 如果IIS拦截了OPTIONS请求，在web.config的<handlers>里加一行：

<add name="OPTIONSVerbHandler" path="*" verb="OPTIONS" modules="ProtocolSupportModule" requireAccess="None" responseBufferLimit="4194304" />

3. 检查应用池关键设置（即使无完整权限也能确认） #

• 应用池的.NET CLR版本必须设为无托管代码（因为是.NET Core应用）。
• 应用池的运行身份要有足够权限访问你的应用文件和日志目录。

排查webpack代理问题（如果用了代理） #

如果React用了webpack-dev-server的代理，检查package.json或webpack.config.js里的代理配置：

// package.json示例
"proxy": "http://your-server-domain/api"

确保代理目标地址是服务器的正确API路径，没有拼接错误，且代理没拦截CORS响应头。

日志查错 #

开启日志抓具体错误：

• 把web.config里的stdoutLogEnabled设为true，去logs/stdout目录看程序启动或请求处理的异常信息。
• 能访问IIS日志的话，找503请求对应的详细错误码（比如503.2是应用池停止，503.3是并发超限）。

内容的提问来源于stack exchange，提问作者AlexAnt