如何检测Windows OOBE浏览器加载的Captive Portal网页？

针对BYOD设备在Windows OOBE（「让我们为你连接网络」）阶段无法安装企业证书/配置文件的问题，你可以通过以下几种精准方式区分OOBE嵌入式IE和普通IE，从而提供差异化内容：

1. 优化UA嗅探+环境受限检测 #

普通IE11和OOBE的嵌入式IE UA几乎一致，但OOBE运行在未完成用户配置的受限环境中，可结合这两点缩小范围：

• 首先匹配Win10/11的IE11内核UA：必须包含Windows NT 10.x（Win10）或Windows NT 10.0; Win64; x64（Win11），同时带有Trident/7.0和rv:11.0。
• 然后检测OOBE环境的典型限制：比如无法访问localStorage/sessionStorage，或者无法调用普通IE支持的部分系统接口。

示例代码：

function isOOBEBrowser() {
  const ua = navigator.userAgent;
  // 第一步：匹配Win10/11的IE11内核
  const isWin11PlusIE11 = /Windows NT 10\.\d+/.test(ua) && /Trident\/7\.0.*rv:11\.0/.test(ua);
  if (!isWin11PlusIE11) return false;

  // 第二步：检测OOBE的存储限制
  let storageAccessible = true;
  try {
    localStorage.setItem('oobe-test', '1');
    localStorage.removeItem('oobe-test');
  } catch (e) {
    storageAccessible = false;
  }
  if (!storageAccessible) return true;

  // 第三步：检测kiosk模式特征（OOBE浏览器是无地址栏的kiosk模式）
  const isKioskMode = !window.open || (window.external && typeof window.external.AddSearchProvider !== 'function');
  return isKioskMode;
}

2. 利用Windows Captive Portal的请求特征 #

Windows触发OOBE浏览器时会有特定行为：

• 系统会先请求http://www.msftconnecttest.com/connecttest.txt，如果返回内容不是Microsoft Connect Test，才会打开你的Captive Portal页面。后端可以通过日志关联：如果某IP先访问了微软测试地址，紧接着访问你的门户，且UA符合IE11+Win10/11，即可判定为OOBE环境。
• 部分Windows版本会在Captive Portal请求中添加X-Microsoft-Captive-Portal: 1的请求头，前端可通过后端传递的标识或直接读取请求头（需CORS允许）判断。

3. 结合证书安装能力检测 #

OOBE阶段的BYOD设备无法安装企业证书，你可以在页面中做一个简单测试：

async function isInOOBE() {
  if (!isWin11PlusIE11()) return false;
  try {
    // 尝试访问需要企业证书的内部测试地址
    const res = await fetch('https://your-enterprise-cert-test.com');
    // 如果返回证书错误或403，说明设备无证书，大概率处于OOBE
    if (res.status === 403 || res.type === 'error') return true;
  } catch (err) {
    // 证书验证失败，符合OOBE特征
    return true;
  }
  return false;
}

4. 兜底提示方案 #

如果检测存在不确定性，直接在页面中添加明确提示：若你无法完成证书安装，请先完成Windows系统初始化设置（跳过网络连接或完成OOBE），再重新访问此页面配置WiFi。对IE用户单独显示该提示，减少误判影响。

内容的提问来源于stack exchange，提问作者Jarv04