.NET Core中Angular 4 Windows认证返回401未授权问题求助

我之前也踩过Windows认证结合CORS的坑，结合你的代码和描述来看，问题主要出在**.NET Core对Windows认证和OPTIONS预检请求的处理逻辑和.NET Framework不同**，下面一步步给你解决：

核心问题分析 #

1. 你没启用Windows认证中间件：.NET Core默认不会开启Windows认证，而.NET Framework在IIS环境下通常默认配置了这项，这是最关键的遗漏点。
2. OPTIONS预检请求被认证拦截：浏览器发送跨域POST前会先发送OPTIONS请求，这个请求不会携带Windows凭证，.NET Core默认会对所有请求做认证检查，导致OPTIONS直接返回401，后续POST根本发不出去（而.NET Framework会自动允许OPTIONS匿名访问）。
3. CORS配置的小隐患：你用了AllowAnyOrigin()结合AllowCredentials()，浏览器实际上不允许这种组合，必须指定具体的Origin地址，否则会导致凭证无法正常携带。

具体解决步骤 #

1. 启用Windows认证中间件 #

在Startup.ConfigureServices里添加Windows认证服务：

public void ConfigureServices(IServiceCollection services)
{
    services.AddSingleton<IConfiguration>(Configuration);
    // 启用Windows认证
    services.AddAuthentication(IISDefaults.AuthenticationScheme);
    services.AddMvc();
    // 替换为指定Origin的CORS策略
    services.AddCors(options =>
    {
        options.AddPolicy("AllowAngular",
            builder => builder.WithOrigins("http://localhost:4200") // 你的Angular应用地址
                .AllowAnyMethod()
                .AllowAnyHeader()
                .AllowCredentials());
    });
}

2. 全局处理OPTIONS预检请求 #

在Startup.Configure里添加一个中间件，提前处理OPTIONS请求，避免被认证拦截：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseBrowserLink();
        app.UseDeveloperExceptionPage();
    }

    // 先处理OPTIONS请求，直接返回200，跳过认证
    app.Use(async (context, next) =>
    {
        if (context.Request.Method == HttpMethod.Options.Method)
        {
            context.Response.StatusCode = StatusCodes.Status200OK;
            await context.Response.CompleteAsync();
        }
        else
        {
            await next();
        }
    });

    // 使用我们定义的CORS策略
    app.UseCors("AllowAngular");

    // 启用认证中间件（注意顺序：在UseCors之后，UseMvc之前）
    app.UseAuthentication();

    app.UseStaticFiles();
    app.UseDefaultFiles();
    app.UseMvc();

    app.Run(async (context) =>
    {
        await context.Response.WriteAsync("Mvc did not find anything!");
    });
}

3. 确保Angular请求携带凭证 #

在Angular的HttpClient请求中，必须设置withCredentials: true，否则Windows凭证不会被携带：

import { HttpClient } from '@angular/common/http';

// 示例请求
this.http.post('http://your-api-url/data/save', yourPostData, { withCredentials: true })
  .subscribe(response => {
    // 处理响应
  }, error => {
    console.error(error);
  });

4. 可选：控制器级别的OPTIONS处理 #

如果你不想全局处理OPTIONS，也可以在DataController里添加一个匿名的OPTIONS方法：

[HttpOptions]
[AllowAnonymous]
[Route("save")]
public IActionResult SaveOptions()
{
    return Ok();
}

为什么.NET Framework能正常运行？ #

.NET Framework在IIS托管时，默认会自动允许OPTIONS预检请求匿名访问，而且Windows认证的配置是直接集成在IIS设置里的；而.NET Core是跨平台框架，认证逻辑需要通过中间件显式启用，对预检请求的处理也更严格，所以需要我们手动配置这些细节。

内容的提问来源于stack exchange，提问作者user2004