ASP.NET Core Web API启用Windows身份验证时CORS请求未授权

嘿，针对你在Windows身份验证下配置ASP.NET Core Web API CORS的需求，结合你给出的Startup.cs代码片段，我给你整理了完整的配置方案和关键注意点，帮你避开常见坑：

1. 完善ConfigureServices中的CORS与身份验证配置 #

首先，你需要确保身份验证服务先被注册，再配置CORS策略，完整代码如下：

public void ConfigureServices(IServiceCollection services)
{
    // 注册Windows身份验证服务
    services.AddAuthentication(IISDefaults.AuthenticationScheme);

    // 配置自定义CORS策略
    services.AddCors(options =>
    {
        options.AddPolicy("CorsPolicy", builder =>
        {
            builder.WithOrigins("http://localhost:4200") // 指定允许的前端源（不能用*，因为要带凭证）
                   .AllowAnyMethod() // 允许所有HTTP请求方法（GET/POST/PUT等）
                   .AllowAnyHeader() // 允许所有请求头
                   .AllowCredentials(); // 必须开启！Windows身份验证属于带凭证的请求，这是核心配置
        });
    });

    // 添加Web API控制器服务
    services.AddControllers();
}

这里划重点：AllowCredentials()是必须的，因为Windows身份验证会携带用户凭证，没有这个配置，浏览器会拦截跨域请求。另外，使用AllowCredentials()时，WithOrigins不能用通配符*，必须指定具体的前端域名/端口，这也是你代码里写http://localhost:4200的原因，完全符合规范。

2. 中间件顺序绝对不能错！ #

很多CORS失效的问题都是因为中间件顺序不对，在Configure方法里，UseCors必须放在UseRouting和UseAuthentication之前，完整配置如下：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }

    app.UseHttpsRedirection();

    // 关键：UseCors必须在UseRouting和UseAuthentication之前执行
    app.UseCors("CorsPolicy");

    app.UseRouting();

    // 身份验证中间件要在授权中间件之前
    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

为什么顺序这么重要？因为中间件是按注册顺序执行的，如果UseCors在身份验证之后，请求会先被身份验证拦截，CORS头还没返回就被拒绝了，浏览器就会报跨域错误。

3. 前端请求必须带凭证 #

你的前端是http://localhost:4200（看起来是Angular项目），发起请求时必须开启withCredentials，否则凭证不会被携带，API会返回401未授权。以Angular的HttpClient为例：

import { HttpClient } from '@angular/common/http';

constructor(private http: HttpClient) {}

fetchDataFromApi() {
  this.http.get('https://your-api-domain/api/your-endpoint', { withCredentials: true })
    .subscribe(response => {
      console.log('API响应:', response);
    }, error => {
      console.error('请求失败:', error);
    });
}

4. 部署到IIS的额外配置 #

如果你的Web API要部署到IIS，还需要做以下操作：

• 在IIS站点的“身份验证”设置中，启用Windows身份验证，禁用匿名身份验证
• 避免IIS自带的CORS配置和ASP.NET Core的配置冲突，建议在web.config中添加以下内容（如果ASP.NET Core的CORS配置没生效时再用）：

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="Access-Control-Allow-Origin" value="http://localhost:4200" />
      <add name="Access-Control-Allow-Credentials" value="true" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

内容的提问来源于stack exchange，提问作者rumi