Angular 4-HttpClient-Cors-Windows身份验证

Question

我在本地IIS上托管了两个应用程序，例如http：// localhost / abc和http：// localhost / xyz 。

abc是Angular 4应用程序，xyz是我的Web API后端api应用程序。

它们都是Intranet应用程序。 用户将使用Windows身份验证登录到http：// localhost / abc 。

由于各种原因（包括审核和日志记录），我想以某种方式将用户的Windows凭据传递到Web Api后端。 由于它是一个以数据为中心的应用程序-捕获用户详细信息至关重要，否则它将无法正常工作。

我看过各种文章和问题，它们都暗示着同一件事。

向请求添加withCredentials。

我尝试这样做，但是从Chrome-我看不到withCredentials标头设置，而至少在IE中，可以使用Fiddler看到标头设置。

我已经在Web Api上启用了Cors，并且确实可以通过http：// localhost / abc调用http：// localhost / xyz来工作，但是我看不到凭据通过。

在chrome开发工具和Fiddler中，我看不到文章/教程建议的“请求”设置任何cookie。

I get the following error in Chrome

{"Message":"An error has occurred.","ExceptionMessage":"The specified policy origin 'http://localhost/abc' is invalid. It must not contain a path, query, or fragment.","ExceptionType":"System.InvalidOperationException","StackTrace":"   at System.Web.Http.Cors.EnableCorsAttribute.ValidateOrigins(IList`1 origins)\r\n   at System.Web.Http.Cors.EnableCorsAttribute.GetCorsPolicyAsync(HttpRequestMessage request, CancellationToken cancellationToken)\r\n   at System.Web.Http.Cors.CorsMessageHandler.<GetCorsPolicyAsync>d__10.MoveNext()\r\n--- End of stack trace from previous location where exception was thrown ---\r\n   at System.Runtime.ExceptionServices.ExceptionDispatchInfo.Throw()\r\n   at System.Runtime.CompilerServices.TaskAwaiter.HandleNonSuccessAndDebuggerNotification(Task task)\r\n   at System.Web.Http.Cors.CorsMessageHandler.<HandleCorsRequestAsync>d__5.MoveNext()\r\n--- End of stack trace from previous location where exception was thrown ---\r\n   at System.Runtime.ExceptionServices.ExceptionDispatchInfo.Throw()\r\n   at System.Runtime.CompilerServices.TaskAwaiter.HandleNonSuccessAndDebuggerNotification(Task task)\r\n   at System.Web.Http.Cors.CorsMessageHandler.<SendAsync>d__0.MoveNext()"}

Web API Cors启用

var cors = new EnableCorsAttribute("http://localhost/abc", "*", "*") { 
SupportsCredentials = true };

config.EnableCors(cors);

Web API开启Windows身份验证

<authentication mode="Windows" />
<authorization>
  <allow verbs="OPTIONS" users="*"/>
  <deny users="?"/>
</authorization>

Angular Http调用和withCredentials的设置

let headers = new Headers({ 'Content-Type': 'application/json' });
let options = new RequestOptions({ headers: headers, withCredentials: true });
return this.http.post(environment.backendApiUrl + 
    "/api/companies/search",jsonData, options)
    .map((response:Response) => <any[]>response.json())

注意 ，自从进行此更改以来，我还注意到了这一点。 我的浏览器不再向我的服务器发出预检请求（OPTIONS）。 这很奇怪，我相信这两件事之间是有联系的。

有想法吗？ 让我知道是否需要查看更多代码段。

TIA

Answer 1

除去碎片。 CORS关心域名：

var cors = new EnableCorsAttribute("http://localhost", "*", "*") {