Angular+.Net项目配置GMSA后出现CORS拒绝问题求助

一、连接字符串的问题 #

你的两个连接字符串均存在错误，具体如下：

• 冗余配置冲突：当使用Integrated Security=SSPI时，无需手动指定user id，SSPI会自动采用应用池运行的身份（即GMSA账号）完成数据库认证，手动添加user id会引发身份认证逻辑冲突。
• 格式错误：
  1. 数据库名转义异常：database="MyDB"属于JSON转义错误，连接字符串中数据库名无需添加引号，应修正为database=MyDB。
  2. GMSA账号的标准标识为MyDomain\m-MyGMSAID$（带$后缀），但因采用集成认证，完全不需要在连接字符串中声明该账号。
• 正确的连接字符串示例：

  "Connection": "server=MyServer;database=MyDB;Trust Server Certificate=True;Persist Security Info=True;Integrated Security=SSPI;"
  

二、CORS问题排查步骤 #

Swagger调用正常但Angular登录异常，说明问题出在浏览器端的预检请求或请求头差异上，按以下步骤逐一排查：

1. 确认GMSA账号的权限配置 #

• 确保GMSA账号已被授予IIS应用池运行权限：在IIS应用池高级设置中，确认“标识”为GMSA账号（格式MyDomain\m-MyGMSAID$）。
• 确保GMSA账号拥有MSSQL数据库访问权限：在SQL Server中，为MyDomain\m-MyGMSAID$账号分配数据库登录权限、用户权限及必要角色（如db_datareader/db_datawriter）。
• 验证GMSA的SPN配置：GMSA需正确注册SPN才能进行Kerberos认证，避免降级为NTLM引发权限问题。可执行setspn -L MyDomain\m-MyGMSAID$命令查看已注册的SPN，确保包含MSSQLSvc/MyServer:1433（或你的SQL服务端口）。

2. 排查浏览器端CORS异常细节 #

• 打开浏览器开发者工具（F12），切换到网络标签，查看登录请求的预检（OPTIONS）请求和实际请求的状态码、响应头：
  • 若预检请求失败，检查响应头是否包含Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers（需覆盖Angular请求中携带的自定义头，如Authorization）。
  • 注意：Swagger属于同域名内调用API，不会触发CORS预检；而Angular通常是跨域/跨端口请求，会触发浏览器的预检逻辑。

3. 确认IIS和.NET的CORS配置 #

• 即使你未主动设置其他CORS策略，仍需核查：
  • .NET项目中是否通过代码启用CORS？比如在Program.cs或Startup.cs中是否存在builder.Services.AddCors()和app.UseCors()配置，确保允许Angular的域名（如http://localhost:4200）。
  • IIS中是否有模块拦截OPTIONS请求？检查IIS的“HTTP响应头”是否添加了CORS相关头，或是否有第三方模块干扰预检请求。

4. 验证GMSA身份的运行上下文 #

• 在服务器上模拟GMSA账号的运行环境：执行runas /user:MyDomain\m-MyGMSAID$ cmd，在弹出的命令行中测试SQL连接（如sqlcmd -S MyServer -d MyDB -E），确认能正常连接数据库，排除身份认证失败导致的API内部错误（API内部错误可能被浏览器误判为CORS异常）。

内容的提问来源于stack exchange，提问作者Haris