Activation du partage des ressources d'origine croisée sur IIS7

Question

J'ai récemment rencontré un problème avec l'envoi de requêtes Javascript vers un autre domaine. Par défaut, l'envoi de XHR vers d'autres domaines n'est pas autorisé.

En suivant les instructions de http://enable-cors.org/ J'ai activé cette fonction sur l'autre domaine.

<?xml version="1.0" encoding="utf-8"?>
<configuration>
 <system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="Access-Control-Allow-Origin" value="*" />
      <add name="Access-Control-Allow-Methods" value="GET,PUT,POST,DELETE,OPTIONS" />
      <add name="Access-Control-Allow-Headers" value="Content-Type" />
    </customHeaders>
  </httpProtocol>
 </system.webServer>
</configuration>

Tout fonctionne bien maintenant, mais il renvoie toujours une réponse 405 avant de renvoyer la réponse 200 qui fonctionne.

Request URL:http://testapi.nottherealsite.com/api/Reporting/RunReport
Request Method:OPTIONS
Status Code:405 Method Not Allowed
Request Headersview source
Accept:*/*
Accept-Charset:ISO-8859-1,utf-8;q=0.7,*;q=0.3
Accept-Encoding:gzip,deflate,sdch
Accept-Language:en-GB,en-US;q=0.8,en;q=0.6
Access-Control-Request-Headers:origin, content-type, accept
Access-Control-Request-Method:POST
Connection:keep-alive
Host:testapi.nottherealsite.com
Origin:http://test.nottherealsite.com
Referer:http://test.nottherealsite.com/Reporting
User-Agent:Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.1 (KHTML, like Gecko) Chrome/21.0.1180.89 Safari/537.1
Response Headersview source
Access-Control-Allow-Headers:Content-Type
Access-Control-Allow-Methods:GET,PUT,POST,DELETE,OPTIONS
Access-Control-Allow-Origin:*
Allow:POST
Cache-Control:private
Content-Length:1565
Content-Type:text/html; charset=utf-8
Date:Tue, 18 Sep 2012 14:26:06 GMT
Server:Microsoft-IIS/7.5
X-AspNet-Version:4.0.30319
X-Powered-By:ASP.NET

Mise à jour : 3/02/2014

Il existe un article récemment mis à jour dans le magazine MSDN. Détaillant le support CORS dans ASP.NET Web API 2.

http://msdn.microsoft.com/en-us/magazine/dn532203.aspx

Answer 1

Il s'agit probablement d'un cas où IIS 7 "gère" la réponse HTTP OPTIONS au lieu que votre application la spécifie. Pour le déterminer, dans IIS7,

1. Allez dans la section Handler Mappings de votre site.

2. Faites défiler la liste jusqu'à 'OPTIONSVerbHandler'.

3. Remplacez 'ProtocolSupportModule' par 'IsapiHandler'.

4. Définir l'exécutable : %windir% \Microsoft.NET\Framework\v4.0.30319\aspnet_isapi.dll

Maintenant, vos entrées de configuration ci-dessus devraient être activées lorsqu'un verbe HTTP OPTIONS est envoyé.

Vous pouvez également répondre au verbe HTTP OPTIONS dans votre méthode BeginRequest.

    protected void Application_BeginRequest(object sender,EventArgs e)
    {
        HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", "*");

        if(HttpContext.Current.Request.HttpMethod == "OPTIONS")
        {
            //These headers are handling the "pre-flight" OPTIONS call sent by the browser
            HttpContext.Current.Response.AddHeader("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE");
            HttpContext.Current.Response.AddHeader("Access-Control-Allow-Headers", "Content-Type, Accept");
            HttpContext.Current.Response.AddHeader("Access-Control-Max-Age", "1728000" );
            HttpContext.Current.Response.End();
        }

    }

Answer 2

Je ne peux pas poster de commentaires, je dois donc mettre ceci dans une réponse séparée, mais c'est lié à la réponse acceptée de Shah.

J'ai d'abord suivi la réponse de Shahs (merci !) en reconfigurant le OPTIONSVerbHandler dans IIS, mais mes paramètres ont été restaurés lorsque j'ai redéployé mon application.

J'ai fini par supprimer le OPTIONSVerbHandler dans mon Web.config à la place.

<handlers>
    <remove name="OPTIONSVerbHandler"/>
</handlers>

Answer 3

J'ai trouvé l'information à http://help.infragistics.com/Help/NetAdvantage/jQuery/2013.1/CLR4.0/html/igOlapXmlaDataSource_Configuring_IIS_for_Cross_Domain_OLAP_Data.html pour être très utile dans la configuration des OPTIONS HTTP pour un service WCF dans IIS 7.

J'ai ajouté les éléments suivants à mon web.config, puis j'ai déplacé le OPTIONSVerbHandler en haut de la liste des "handlers mappings" d'IIS 7. J'ai également donné à OPTIONSVerbHander un accès en lecture en double-cliquant sur le hander dans la section handler mappings puis sur 'Request Restrictions' et enfin en cliquant sur l'onglet access.

Malheureusement, je me suis rapidement rendu compte qu'IE ne semble pas prendre en charge l'ajout d'en-têtes à leur XDomainRequest (en fixant le Content-Type à text/xml et en ajoutant un en-tête SOAPAction).

Je voulais juste partager cette information, car j'ai passé une bonne partie de la journée à chercher comment gérer ce problème.

<system.webServer>
    <httpProtocol>
        <customHeaders>
            <add name="Access-Control-Allow-Origin" value="*" />
            <add name="Access-Control-Allow-Methods" value="GET,POST,OPTIONS" />
            <add name="Access-Control-Allow-Headers" value="Content-Type, soapaction" />
        </customHeaders>
    </httpProtocol>
</system.webServer>

Answer 4

En s'appuyant sur Réponse de DavidG ce qui est vraiment proche de ce qui est requis pour une solution de base :

• Tout d'abord, configurez le OPTIONSVerbHandler pour qu'il s'exécute avant les gestionnaires .Net.

  1. Dans la console IIS, sélectionnez "Handler Mappings" (soit au niveau du serveur, soit au niveau du site ; attention, au niveau du site, cela redéfinira tous les gestionnaires de votre site et ignorera tout changement effectué au niveau du serveur par la suite ; et bien sûr, au niveau du serveur, cela pourrait casser d'autres sites s'ils ont besoin de leur propre gestion du verbe d'option).
  2. Dans le volet Action, sélectionnez "Afficher la liste ordonnée...". Cherchez OPTIONSVerbHandler, et déplacez-le vers le haut (beaucoup de clics...).

  Vous pouvez également le faire dans le fichier web.config en redéfinissant tous les gestionnaires sous le nom de <system.webServer><handlers> ( <clear> puis <add ...> (Au fait, il n'est pas nécessaire de demander la permission de lecture sur ce gestionnaire).

• Deuxièmement, configurez des en-têtes http personnalisés pour vos besoins de cors, tels que :

  <system.webServer>
    <httpProtocol>
      <customHeaders>
        <add name="Access-Control-Allow-Origin" value="*"/>
        <add name="Access-Control-Allow-Headers" value="Content-Type"/>
        <add name="Access-Control-Allow-Methods" value="POST,GET,OPTIONS"/>
      </customHeaders>
    </httpProtocol>
  </system.webServer>

  Vous pouvez également le faire dans la console IIS.

Il s'agit d'une solution de base puisqu'elle envoie les en-têtes cors même pour les demandes qui ne le nécessitent pas. Mais avec WCF, elle semble être la plus simple.

Avec MVC ou webapi, nous pourrions plutôt gérer le verbe OPTIONS et les en-têtes cors par le code (soit "manuellement", soit avec le support intégré disponible dans la dernière version de webapi).

Answer 5

La réponse 405 est une réponse "Méthode non autorisée". Il semble que votre serveur ne soit pas correctement configuré pour traiter les requêtes CORS preflight. Vous devez faire deux choses :

1) Permettre à IIS7 de répondre aux demandes HTTP OPTIONS. Vous obtenez le message 405 parce que IIS7 rejette la demande OPTIONS. Je ne sais pas comment faire car je ne connais pas IIS7, mais d'autres personnes sur Stack Overflow le savent probablement.

2) Configurez votre application pour qu'elle réponde aux demandes de contrôle préalable CORS. Pour ce faire, il suffit d'ajouter les deux lignes suivantes en dessous de la balise Access-Control-Allow-Origin dans le <customHeaders> section :

<add name="Access-Control-Allow-Methods" value="GET,PUT,POST,DELETE" />
<add name="Access-Control-Allow-Headers" value="Content-Type" />

Vous devrez peut-être ajouter d'autres valeurs à l Access-Control-Allow-Headers en fonction des en-têtes demandés par votre requête. Avez-vous l'exemple de code pour faire une demande ?

Vous pouvez en savoir plus sur CORS et CORS preflight ici : http://www.html5rocks.com/en/tutorials/cors/