IE11开启withCredentials:true且Intranet设为弹窗认证时Ajax CORS请求失败

这问题我之前帮团队排查过，IE11在NTLM认证场景下对POST请求的处理确实和Chrome/Edge有差异，尤其是手动输入凭据的配置下。核心原因是IE11出于安全考虑，默认不会自动重试带凭证的POST请求（怕重复提交数据），而Chrome/Edge的网络栈会处理这个重试逻辑。下面是几个经过验证的解决方案：

1. 关闭IE11的「增强保护模式」 #

这个模式会限制IE11的凭证传递能力，尤其是跨请求的凭证复用。操作步骤：

• 打开IE11，点击右上角「工具」（齿轮图标）→「Internet选项」
• 切换到「高级」标签，找到「安全」区域
• 取消勾选「增强保护模式」（如果是64位系统，还要注意下方的「为64位进程启用增强保护模式」选项）
• 重启IE11后测试

2. 前端添加预认证请求 #

在发送目标POST请求之前，先发起一个无副作用的GET请求（比如访问服务器的/favicon.ico或者专门的/auth-check接口），触发IE11弹出认证框。完成NTLM认证后，浏览器会缓存凭证，后续的POST请求就会自动携带凭证，不会返回401。

示例代码（原生JS）：

// 先发起预认证请求
fetch('/auth-check', { credentials: 'include' })
  .then(() => {
    // 预认证完成后发送POST请求
    return fetch('/your-post-api', {
      method: 'POST',
      body: JSON.stringify(yourData),
      headers: { 'Content-Type': 'application/json' },
      credentials: 'include'
    });
  })
  .then(response => response.json())
  .catch(error => console.error('请求失败:', error));

3. 确保服务器明确返回NTLM认证头 #

有些服务器默认返回WWW-Authenticate: Negotiate，但IE11在手动凭证场景下对纯NTLM头的兼容性更好。可以调整服务器配置，让401响应同时返回NTLM和Negotiate，或者优先返回NTLM：

• 以IIS为例：打开站点的「身份验证」设置，编辑「Windows身份验证」的提供程序，把「NTLM」移到「Negotiate」上方
• 其他服务器（比如Nginx、Tomcat）可以在配置中添加WWW-Authenticate: NTLM头到401响应里

4. 确认服务器域名已加入本地Intranet区域 #

有时候IE11的自动Intranet检测可能没把你的服务器域名识别进去，手动添加可以避免凭证传递的限制：

• 打开IE11的「Internet选项」→「安全」标签→「本地Intranet」→「站点」→「高级」
• 在「将该网站添加到区域」输入服务器的域名（比如http://your-server.local），点击「添加」
• 关闭所有窗口后重启IE11测试

为什么Chrome/Edge正常？ #

Chrome和Edge基于Chromium内核，它们的网络栈在处理NTLM认证时，会在收到401响应后自动弹出凭证框，并且在用户输入凭据后重新发送原始的POST请求（即使POST有副作用，浏览器会提示用户确认，但默认允许重试）。而IE11的旧版网络栈没有这个逻辑，所以直接返回401错误。

内容的提问来源于stack exchange，提问作者R. StackUser