SharePoint本地环境中用jQuery调用启用Windows身份验证的WCF服务问题

我来帮你梳理下SharePoint本地环境中，用jQuery调用Windows身份验证WCF服务的正确配置和关键注意事项——毕竟跨域+Windows身份验证的组合确实有几个容易踩坑的点：

完整的Ajax调用配置 #

首先补全你没写完的xhrFields部分，这是跨域携带Windows凭据的核心：

$.ajax({
    url: url,
    type: "POST",
    data: data,
    success: successCallback,
    error: function(xhr, status, error) {
        // 建议加上错误处理，方便排查问题
        console.log("请求错误详情: ", status, error);
        console.log("响应状态码: ", xhr.status);
    },
    contentType: "application/json",
    crossDomain: true,
    xhrFields: {
        withCredentials: true // 必须设置这个，才会让浏览器携带Windows身份验证令牌
    }
});

关键注意事项 #

• withCredentials是核心：这个属性告诉浏览器在跨域请求中携带用户的Windows凭据（NTLM/Kerberos令牌），没有它，即使服务端开了CORS，身份验证也会失败。
• 服务端CORS配置要覆盖预检请求：跨域POST会先发送OPTIONS预检请求，所以你的WCF服务必须正确响应OPTIONS，除了你已有的头，还要返回：
  • Access-Control-Allow-Methods: POST, OPTIONS
  • Access-Control-Allow-Headers: Content-Type（匹配你Ajax里的contentType）
• 浏览器的信任站点设置：Chrome、IE/Edge等浏览器对跨域携带Windows凭据有安全限制，需要把WCF服务的域名加入浏览器的受信任站点，否则浏览器会自动丢弃凭据。测试时Chrome可以加启动参数--disable-web-security --user-data-dir（仅限测试，生产环境禁用）。
• WCF服务端身份验证配置：确保服务端web.config里正确启用Windows身份验证，禁用匿名：

  <system.web>
    <authentication mode="Windows" />
    <authorization>
      <deny users="?" /> <!-- 拒绝匿名访问 -->
    </authorization>
  </system.web>
  <system.serviceModel>
    <behaviors>
      <serviceBehaviors>
        <behavior>
          <!-- 如果需要模拟调用者身份执行操作，加上这个 -->
          <serviceAuthorization impersonateCallerForAllOperations="true" />
        </behavior>
      </serviceBehaviors>
    </behaviors>
  </system.serviceModel>
  

• 处理预检请求：如果你的WCF没有专门处理OPTIONS请求，预检会失败。可以通过自定义MessageInspector或者使用WCF的CORS扩展包（.NET Framework环境）来统一处理OPTIONS请求的响应头。

内容的提问来源于stack exchange，提问作者supriya khamesra