启用PingID/SSO的Angular应用在IIS上POST请求报405方法不允许

问题背景 #

Angular应用部署在IIS服务器，启用PingID/SSO认证（依赖OpenTokenHttpModule）。浏览器访问时会正常重定向到PingID认证，完成后返回应用，但此时发起的HTTP POST请求会触发405 Method Not Allowed错误，移除OpenTokenHttpModule后问题消失。已尝试移除WebDAVModule和WebDAV handler，但未解决问题。

可能的解决方法 #

• 调整OpenTokenHttpModule的作用范围
  OpenTokenHttpModule可能默认拦截了所有请求，包括Angular应用的POST请求。可以通过配置限制它仅处理认证相关路径，避免干扰静态文件和API请求：

  <system.webServer>
      <modules runAllManagedModulesForAllRequests="true">
          <remove name="WebDAVModule"/>
          <!-- 为OpenTokenHttpModule添加preCondition，仅处理托管handler的请求 -->
          <add name="OpenTokenHttpModule" type="你的模块完整类型名" preCondition="managedHandler" />
      </modules>
      <handlers>
          <remove name="WebDAV" />
          <!-- 配置Angular SPA路由，确保所有请求指向index.html -->
          <add name="AngularSPA" path="*" verb="*" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" />
      </handlers>
  </system.webServer>
  

  若使用ASP.NET Core环境，将handler中的type替换为modules="AspNetCoreModuleV2"。

• 限定PingID保护的路径
  检查PingID的SSO配置，确保OpenTokenHttpModule仅保护认证入口（比如/login或根路径），而Angular的API请求路径（如/api/*）不被该模块拦截。这样POST请求可以直接到达对应的处理逻辑，不会被认证模块干扰。

• 验证IIS请求筛选设置
  打开IIS管理器，找到目标站点，进入请求筛选 -> HTTP方法，确认POST方法处于允许状态。如果被禁止，添加POST方法到允许列表。

• 启用IIS日志排查请求流转
  开启IIS的详细日志记录，查看POST请求在经过OpenTokenHttpModule处理后的方法变化、模块拦截情况。日志中可以看到请求被哪些模块处理，是否存在方法被篡改或拦截的情况，帮助定位具体问题点。

内容的提问来源于stack exchange，提问作者Umesh S