IIS部署ASP.NET Web API+Angular7应用SAML认证首次登录报错问题

核心问题排查&解决思路 #

1. 先修复已存在的CORS配置冲突 #

你当前的web.config跨域配置不符合W3C规范要求：当Access-Control-Allow-Credentials设置为true时，Access-Control-Allow-Origin不允许使用通配符*，必须明确指定前端Angular站点的完整域名。
浏览器在线上环境会严格执行该校验规则，本地开发环境因为跨域限制宽松、通常使用本地代理转发请求，不会触发该报错，这也是本地正常线上异常的常见诱因。
修复方案：
把配置中的<add name="Access-Control-Allow-Origin" value="*"/>替换为你的Angular站点实际域名，示例：

<add name="Access-Control-Allow-Origin" value="https://你的前端站点域名.com"/>

如果有多个允许的跨域来源，建议在.NET Web API层做动态Origin校验，不要在web.config中写死通配符。

2. 处理Angular静态资源缓存问题 #

首次访问加载了旧版缓存的前端代码、强制刷新后拉取最新代码逻辑恢复正常，是该类问题的典型特征，可通过以下配置避免：

• 部署Angular生产包时使用带哈希后缀的构建命令：ng build --prod，该命令会自动给所有js、css资源添加内容哈希后缀，避免浏览器加载过期缓存资源
• 在IIS的Angular站点配置中给index.html添加强制不缓存的响应头，配置示例：

<location path="index.html">
  <system.webServer>
    <httpProtocol>
      <customHeaders>
        <add name="Cache-Control" value="no-cache, no-store, must-revalidate" />
        <add name="Pragma" value="no-cache" />
        <add name="Expires" value="0" />
      </customHeaders>
    </httpProtocol>
  </system.webServer>
</location>

3. 修复IIS的OPTIONS预请求拦截问题 #

SAML认证请求属于带自定义头的跨域请求，浏览器会先发送OPTIONS预校验请求，IIS默认配置下会拦截OPTIONS请求，不会转发到.NET Web API处理，导致首次认证失败，可添加如下配置解决：

<system.webServer>
  <handlers>
    <remove name="ExtensionlessUrlHandler-Integrated-4.0" />
    <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="*" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" />
  </handlers>
  <modules runAllManagedModulesForAllRequests="true">
    <remove name="FormsAuthentication" />
  </modules>
</system.webServer>

4. 校验SAML认证Cookie的SameSite配置 #

线上HTTPS环境下，跨域携带的认证Cookie必须设置SameSite=None; Secure属性，否则浏览器会默认拦截跨站Cookie，导致首次认证时Cookie写入失败，刷新后Cookie已生效才正常。可在.NET Web API的SAML认证配置中添加对应的Cookie属性配置。

内容的提问来源于stack exchange，提问作者Soukaina EL HAYOUNI