IIS加固后XMLHttpRequest.statusText异常问题求助

核心原因推测 #

客户的IIS加固操作大概率修改了以下配置，导致自定义响应被覆盖或篡改：

1. 启用了IIS自定义错误页，将401等状态码的响应强制替换为默认错误页面，覆盖了API返回的自定义内容。
2. 配置了HTTP响应头限制，过滤或禁用了自定义ReasonPhrase的传递，或限制了非标准响应头。
3. 启用了请求过滤/URL重写模块，拦截并修改了API的错误响应内容。

具体解决步骤 #

1. 调整IIS自定义错误页配置 #

• 打开IIS管理器，进入目标站点的错误页功能，找到401状态码对应的设置。
• 若需要保留加固同时兼容API响应，可在站点的web.config中针对API路径单独配置，让IIS保留自定义响应：

<location path="api">
  <system.webServer>
    <httpErrors errorMode="DetailedLocalOnly" existingResponse="PassThrough" />
  </system.webServer>
</location>

existingResponse="PassThrough"会强制IIS不替换API返回的原始错误响应。

2. 替换ReasonPhrase的传递方式 #

由于部分安全加固策略会限制ReasonPhrase（属于HTTP状态行部分，非标准值易被过滤），建议将错误标识移到自定义响应头中：

• 修改AuthorizeLoginApi过滤器代码，添加自定义响应头：

var response = new HttpResponseMessage(HttpStatusCode.Unauthorized)
{
    Content = new StringContent("未登录或权限验证失败")
};
// 用自定义头传递错误标识
response.Headers.Add("X-Error-Type", "IsLoggedIn"); 
return response;

• 前端调整逻辑，从响应头读取错误标识，替代statusText：

$.ajax({
    // 其他配置项
    error: function(xhr) {
        var errorType = xhr.getResponseHeader('X-Error-Type');
        switch(errorType) {
            case 'IsLoggedIn':
                // 执行未登录处理逻辑
                break;
            case 'Error':
                // 执行通用错误处理逻辑
                break;
            default:
                // 处理未知错误
        }
    }
});

3. 检查IIS安全模块配置 #

• 确认是否启用了URL Rewrite模块，若有重写规则修改401响应，需添加API路径的例外规则。
• 检查Request Filtering模块，确保自定义响应头（如X-Error-Type）未被限制传递。

4. 验证原始响应内容 #

在客户服务器上用curl或Postman直接调用API，查看原始响应：

curl -i https://客户域名/api/目标接口

• 若原始响应已被修改，说明是IIS层面的配置问题；
• 若原始响应正常，需排查前端环境（如浏览器安全策略、代理服务器）是否篡改了响应。

内容的提问来源于stack exchange，提问作者Ibrahim shaikh