WebAPI de la SCRO avec l'Authentification Windows - option autoriser l'accès Anonyme demande

J'ai lutté pendant un certain temps à faire de la SCRO demandes de travaux dans les contraintes suivantes (très semblables à celles de l'OP):

• L'Authentification Windows pour tous les utilisateurs
• Pas l'authentification Anonyme a permis
• Fonctionne avec IE11 qui, dans certains cas, ne pas envoyer de la SCRO de contrôle en amont des demandes (ou au moins ne pas atteindre mondiale.asax BeginRequest que les OPTIONS de demande)

Ma configuration finale est la suivante:

web.config - permettre non authentifié (anonyme) de contrôle en amont des demandes (OPTIONS)

<system.web>
    <authentication mode="Windows" />
    <authorization>
        <allow verbs="OPTIONS" users="*"/>
        <deny users="?" />
    </authorization>
</system.web>

mondiale.asax.cs - répondre correctement avec les en-têtes qui permettent de l'appelant à partir d'un autre domaine pour recevoir des données

protected void Application_AuthenticateRequest(object sender, EventArgs e)
{
    if (Context.Request.HttpMethod == "OPTIONS")
    {
        if (Context.Request.Headers["Origin"] != null)
            Context.Response.AddHeader("Access-Control-Allow-Origin", Context.Request.Headers["Origin"]);

        Context.Response.AddHeader("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept, MaxDataServiceVersion");
        Context.Response.AddHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        Context.Response.AddHeader("Access-Control-Allow-Credentials", "true");

        Response.End();
    }
}

De la SCRO permettant

public static class WebApiConfig
{
    public static void Register(HttpConfiguration config)
    {
        //all requests are enabled in this example. SupportsCredentials must be here to allow authenticated requests          
        var corsAttr = new EnableCorsAttribute("*", "*", "*") { SupportsCredentials = true };
        config.EnableCors(corsAttr);
    }
}

protected void Application_Start()
{
    GlobalConfiguration.Configure(WebApiConfig.Register);
}

OriginalL'auteur Alexei

Je l'ai résolu d'une manière très similaire, mais avec quelques détails et axée sur le service oData

Je n'ai pas désactiver l'authentification anonyme dans IIS car j'en avais besoin pour la requête POST

Et j'ai ajouté Mondiale.aspx (en Ajoutant MaxDataServiceVersion dans Access-Control-Allow-Headers) le même code que ci-dessus

protected void Application_BeginRequest(object sender, EventArgs e)
{
    if ((Context.Request.Path.Contains("api/") || Context.Request.Path.Contains("odata/")) && Context.Request.HttpMethod == "OPTIONS")
    {
        Context.Response.AddHeader("Access-Control-Allow-Origin", Context.Request.Headers["Origin"]);
        Context.Response.AddHeader("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept,MaxDataServiceVersion");
        Context.Response.AddHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        Context.Response.AddHeader("Access-Control-Allow-Credentials", "true");
        Context.Response.End();
    }
} 

et WebAPIConfig.cs

public static void Register(HttpConfiguration config)
{
   //Web API configuration and services
   var cors = new EnableCorsAttribute("*", "*", "*");
   cors.SupportsCredentials = true;
   config.EnableCors(cors);


   config.Routes.MapHttpRoute(
       name: "DefaultApi",
       routeTemplate: "api/{controller}/{id}",
       defaults: new { id = RouteParameter.Optional }
   );
}

et AngularJS appel

$http({
       method: 'POST',
        url: 'http://XX.XXX.XXX.XX/oData/myoDataWS.svc/entityName',
        withCredentials: true,
        headers: {
            'Content-Type': 'application/json;odata=verbose',
            'Accept': 'application/json;odata=light;q=1,application/json;odata=verbose;q=0.5',
            'MaxDataServiceVersion': '3.0'
        },
        data: {
            '@odata.type':'entityName',
            'field1': 1560,
            'field2': 24,
            'field3': 'sjhdjshdjsd',
            'field4':'wewewew',
            'field5':'ewewewe',
            'lastModifiedDate':'2015-10-26T11:45:00',
            'field6':'1359',
            'field7':'5'
        }
    });

OriginalL'auteur Fran Rodriguez

désactiver l'authentification anonyme dans IIS si vous n'en avez pas besoin.

Que d'ajouter ceci dans votre global asax:

protected void Application_BeginRequest(object sender, EventArgs e)
{
    if ((Context.Request.Path.Contains("api/") || Context.Request.Path.Contains("odata/")) && Context.Request.HttpMethod == "OPTIONS")
    {
        Context.Response.AddHeader("Access-Control-Allow-Origin", Context.Request.Headers["Origin"]);
        Context.Response.AddHeader("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept");
        Context.Response.AddHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
        Context.Response.AddHeader("Access-Control-Allow-Credentials", "true");
        Context.Response.End();
    }
} 

Assurez-vous que lorsque vous activez la scro vous activez également les informations d'identification de l'utilisation, comme:

public static void Register(HttpConfiguration config)
{
   //Web API configuration and services
   var cors = new EnableCorsAttribute("*", "*", "*");
   cors.SupportsCredentials = true;
   config.EnableCors(cors);

   //Web API routes
   config.MapHttpAttributeRoutes();

   config.Routes.MapHttpRoute(
       name: "DefaultApi",
       routeTemplate: "api/{controller}/{id}",
       defaults: new { id = RouteParameter.Optional }
   );
}

Comme vous pouvez le voir j'ai activer la SCRO à l'échelle mondiale et à l'aide de l'application BeginRequest crochet je authentifier toutes les OPTIONS de demandes pour l'api (Api Web) et le odata demandes (si vous l'utilisez).

Cela fonctionne bien avec tous les navigateurs, dans le côté client, n'oubliez pas d'ajouter le xhrFiled withCredentials comme indiqué ci-dessous.

$.ajax({
    type : method,
    url : apiUrl,
    dataType : "json",
    xhrFields: {
        withCredentials: true
    },
    async : true,
    crossDomain : true,
    contentType : "application/json",
    data: data ? JSON.stringify(data) : ''
}).....

J'essaie de trouver une autre solution en évitant d'utiliser le crochet, mais sans succès jusqu'à présent,
Je voudrais utiliser le web.de configuration config à faire quelque chose comme ce qui suit:
AVERTISSEMENT LA CONFIGURATION CI-DESSOUS NE FONCTIONNE PAS!

  <system.web>
    <compilation debug="true" targetFramework="4.5" />
    <httpRuntime targetFramework="4.5" />
    <authentication mode="Windows" />
    <authorization>
      <deny verbs="GET,PUT,POST" users="?" />
      <allow verbs="OPTIONS" users="?"/>
    </authorization>
  </system.web>
  <location path="api">
    <system.web>
      <authorization>
        <allow users="?"/>
      </authorization>
    </system.web>
  </location>

OriginalL'auteur Norcino

C'est ma solution.

Mondiale.asax*

protected void Application_BeginRequest(object sender, EventArgs e)
{
    if(!ListOfAuthorizedOrigins.Contains(Context.Request.Headers["Origin"])) return;

    if (Request.HttpMethod == "OPTIONS")
    {
        HttpContext.Current.Response.Headers.Remove("Access-Control-Allow-Origin");
        HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", Context.Request.Headers["Origin"]);
        HttpContext.Current.Response.StatusCode = 200;
        HttpContext.Current.Response.End();
    }

    if (Request.Headers.AllKeys.Contains("Origin"))
    {
        HttpContext.Current.Response.Headers.Remove("Access-Control-Allow-Origin");
        HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", Context.Request.Headers["Origin"]);
    }
}

OriginalL'auteur Dblock247