.NET Core 2.0 Windows Auth REST API预请求401，Angular4 POST失败求助

我之前踩过几乎一模一样的坑，结合Windows身份验证的CORS配置在.NET Core 2.0里确实有不少容易忽略的细节，尤其是预请求（OPTIONS）这块，咱们一步步排查你可能遗漏的点：

1. 先搞定.NET Core端的CORS与预请求处理 #

Windows身份验证默认会拦截不带凭证的OPTIONS请求，这是POST失败的核心原因之一，你需要做这几个配置：

（1）调整Startup.cs的中间件顺序与CORS规则 #

• 确保UseCors在UseMvc之前执行，顺序错了会导致CORS头不生效；
• 绝对不能同时使用AllowAnyOrigin()和AllowCredentials()，必须指定具体的前端域名（比如http://localhost:4200）；
• 显式允许所有请求方法和头，同时开启凭证支持。

示例代码：

public void ConfigureServices(IServiceCollection services)
{
    services.AddCors(options =>
    {
        options.AddPolicy("MyCorsPolicy",
            builder => builder.WithOrigins("http://localhost:4200")
                              .AllowAnyMethod()
                              .AllowAnyHeader()
                              .AllowCredentials());
    });

    services.AddMvc();
    // 启用Windows身份验证的IIS集成
    services.Configure<IISOptions>(options =>
    {
        options.AutomaticAuthentication = true;
    });
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 先处理OPTIONS请求，直接返回200，避免被身份验证拦截
    app.Use(async (context, next) =>
    {
        if (context.Request.Method == "OPTIONS")
        {
            context.Response.StatusCode = StatusCodes.Status200OK;
            await context.Response.WriteAsync(string.Empty);
        }
        else
        {
            await next();
        }
    });

    // 应用CORS策略
    app.UseCors("MyCorsPolicy");

    app.UseMvc();
}

（2）配置IIS/IIS Express允许OPTIONS匿名访问 #

如果你的项目部署在IIS或用IIS Express调试，需要单独配置让OPTIONS请求跳过Windows身份验证：
在项目根目录的web.config里添加以下节点：

<system.webServer>
  <security>
    <authentication>
      <anonymousAuthentication enabled="true" />
      <windowsAuthentication enabled="true" />
    </authentication>
    <authorization>
      <!-- 允许所有用户发起OPTIONS请求 -->
      <add accessType="Allow" users="*" verbs="OPTIONS" />
      <!-- 拒绝匿名用户访问其他请求 -->
      <add accessType="Deny" users="?" />
    </authorization>
  </security>
</system.webServer>

2. Angular端的关键配置检查 #

别只盯着后端，前端也容易踩坑：

（1）确保所有POST请求都带withCredentials: true #

不管是直接用HttpClient还是封装的服务，必须显式开启凭证携带，示例代码：

import { HttpClient, HttpHeaders } from '@angular/common/http';
// 如果你用的是Angular 4的HttpModule，导入Http和Headers即可

@Injectable()
export class DataService {
  constructor(private http: HttpClient) { }

  postData(payload: any) {
    const headers = new HttpHeaders({ 'Content-Type': 'application/json' });
    return this.http.post('https://your-api-endpoint', payload, {
      headers: headers,
      withCredentials: true // 这个必须加！
    });
  }
}

（2）检查拦截器是否覆盖了配置 #

如果你用了HTTP拦截器统一处理请求头，要确保拦截器不会把withCredentials覆盖掉，比如：

intercept(req: HttpRequest<any>, next: HttpHandler): Observable<HttpEvent<any>> {
  const modifiedReq = req.clone({
    withCredentials: true // 这里要明确设置，不要遗漏
  });
  return next.handle(modifiedReq);
}

3. 控制器与路由的额外检查 #

• 避免全局CORS和控制器上的[EnableCors]属性混用，两者选其一即可，混用容易导致规则冲突；
• 确保控制器的POST接口没有额外的身份验证限制（比如自定义的[Authorize]属性和Windows身份验证冲突）。

4. 用浏览器调试确认问题 #

打开浏览器开发者工具的Network标签，找到失败的OPTIONS请求，检查：

• 响应状态码是不是401（如果是，说明身份验证拦截了预请求）；
• 响应头里有没有Access-Control-Allow-Origin、Access-Control-Allow-Credentials这两个关键头，且Access-Control-Allow-Origin是你前端的域名（不能是*）。

按这个流程排查下来，基本能解决预请求的未授权问题，我当时就是卡在OPTIONS请求被Windows身份验证拦截这一步，加了预请求的中间件和IIS配置就搞定了。

内容的提问来源于stack exchange，提问作者Brendan