Comment prendre en charge les OPTIONS HTTP ASP.NET application MVC/WebAPI

la réponse de Mike Goodwin est excellente, mais il semble, quand je l'ai essayée, qu'elle visait MVC5/WebApi 2.1. Les dépendances pour Microsoft.AspNet.WebApi.Cors n'a pas bien joué avec mon projet MVC4.

la façon la plus simple d'activer CORS sur WebApi avec MVC4 était la suivante.

Notez que j'ai permis à tous, je vous suggère de limiter à l'Origine de la juste à les clients que vous voulez de votre API pour servir. Autoriser tout est un risque de sécurité.

Web.config:

<system.webServer>
    <httpProtocol>
      <customHeaders>
        <add name="Access-Control-Allow-Origin" value="*" />
        <add name="Access-Control-Allow-Methods" value="GET, PUT, POST, DELETE, HEAD" />
        <add name="Access-Control-Allow-Headers" value="Origin, X-Requested-With, Content-Type, Accept" />
      </customHeaders>
    </httpProtocol>
</system.webServer>

BaseApiController.cs:

nous le faisons pour autoriser les OPTIONS http verb

 public class BaseApiController : ApiController
  {
    public HttpResponseMessage Options()
    {
      return new HttpResponseMessage { StatusCode = HttpStatusCode.OK };
    }
  }

il suffit d'ajouter ceci à votre méthode Application_OnBeginRequest (cela permettra au CORS de prendre en charge globalement votre application) et "gérer" les requêtes pré-vol:

var res = HttpContext.Current.Response;
var req = HttpContext.Current.Request;
res.AppendHeader("Access-Control-Allow-Origin", req.Headers["Origin"]);
res.AppendHeader("Access-Control-Allow-Credentials", "true");
res.AppendHeader("Access-Control-Allow-Headers", "Content-Type, X-CSRF-Token, X-Requested-With, Accept, Accept-Version, Content-Length, Content-MD5, Date, X-Api-Version, X-File-Name");
res.AppendHeader("Access-Control-Allow-Methods", "POST,GET,PUT,PATCH,DELETE,OPTIONS");

// ==== Respond to the OPTIONS verb =====
if (req.HttpMethod == "OPTIONS")
{
    res.StatusCode = 200;
    res.End();
}

* sécurité: sachez que cela permettra d'activer les requêtes ajax depuis n'importe où vers votre serveur (vous pouvez à la place n'autoriser qu'une liste d'origines/URL séparées par des virgules si vous préférez).

j'ai utilisé l'origine actuelle du client au lieu de * parce que cela permettra de définir Access-Control-Allow-Credentials à true va activer la gestion de session cross browser

vous devez également activer les verbes supprimer et mettre, patch et options dans votre webconfig section system.webServer , sinon IIS les bloquera:

<handlers>
  <remove name="ExtensionlessUrlHandler-ISAPI-4.0_32bit" />
  <remove name="ExtensionlessUrlHandler-ISAPI-4.0_64bit" />
  <remove name="ExtensionlessUrlHandler-Integrated-4.0" />
  <add name="ExtensionlessUrlHandler-ISAPI-4.0_32bit" path="*." verb="GET,HEAD,POST,DEBUG,PUT,DELETE,PATCH,OPTIONS" modules="IsapiModule" scriptProcessor="%windir%\Microsoft.NET\Framework\v4.0.30319\aspnet_isapi.dll" preCondition="classicMode,runtimeVersionv4.0,bitness32" responseBufferLimit="0" />
  <add name="ExtensionlessUrlHandler-ISAPI-4.0_64bit" path="*." verb="GET,HEAD,POST,DEBUG,PUT,DELETE,PATCH,OPTIONS" modules="IsapiModule" scriptProcessor="%windir%\Microsoft.NET\Framework64\v4.0.30319\aspnet_isapi.dll" preCondition="classicMode,runtimeVersionv4.0,bitness64" responseBufferLimit="0" />
  <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="GET,HEAD,POST,DEBUG,PUT,DELETE,PATCH,OPTIONS" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" />
</handlers>

espérons que cette aide

après avoir rencontré le même problème dans un projet D'API Web 2 (et étant incapable d'utiliser les paquets standard CORS pour des raisons qui ne valent pas la peine d'être mentionnées ici), j'ai pu résoudre ce problème en implémentant un Delagatingandler personnalisé:

public class AllowOptionsHandler : DelegatingHandler
{
    protected override async Task<HttpResponseMessage> SendAsync(
        HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var response = await base.SendAsync(request, cancellationToken);

        if (request.Method == HttpMethod.Options &&
            response.StatusCode == HttpStatusCode.MethodNotAllowed)
        {
            response = new HttpResponseMessage(HttpStatusCode.OK);
        }

        return response;
    }
}

pour la configuration de L'API Web:

config.MessageHandlers.Add(new AllowOptionsHandler());

notez que j'ai aussi les en-têtes CORS activés dans Web.config, similaire à certaines des autres réponses postées ici:

<system.webServer>
  <modules runAllManagedModulesForAllRequests="true">
    <remove name="WebDAVModule" />
  </modules>

  <httpProtocol>
    <customHeaders>
      <add name="Access-Control-Allow-Origin" value="*" />
      <add name="Access-Control-Allow-Headers" value="accept, cache-control, content-type, authorization" />
      <add name="Access-Control-Allow-Methods" value="GET, POST, PUT, DELETE, OPTIONS" />
    </customHeaders>
  </httpProtocol>

  <handlers>
    <remove name="ExtensionlessUrlHandler-Integrated-4.0" />
    <remove name="TRACEVerbHandler" />
    <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="*" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" />
  </handlers>
</system.webServer>

notez que mon projet n'inclut pas MVC, seulement L'API Web 2.

j'ai réussi à surmonter les erreurs 405 et 404 lancées sur les requêtes d'options ajax avant le vol seulement par le code personnalisé dans global.asax 151930920"

protected void Application_BeginRequest()
    {            
        HttpContext.Current.Response.AddHeader("Access-Control-Allow-Origin", "*");
        if (HttpContext.Current.Request.HttpMethod == "OPTIONS")
        {
            //These headers are handling the "pre-flight" OPTIONS call sent by the browser
            HttpContext.Current.Response.AddHeader("Access-Control-Allow-Methods", "GET, OPTIONS");
            HttpContext.Current.Response.AddHeader("Access-Control-Allow-Headers", "Content-Type, Accept");
            HttpContext.Current.Response.AddHeader("Access-Control-Max-Age", "1728000");
            HttpContext.Current.Response.End();
        }
    }

PS: tenir compte des problèmes de sécurité lors de l'autorisation de tout *.

j'ai dû désactiver CORS car l'en-tête 'Access-Control-Allow-Origin' contenait plusieurs valeurs.

avait aussi besoin de ça sur le web.config:

<handlers>
  <remove name="ExtensionlessUrlHandler-Integrated-4.0"/>
  <remove name="OPTIONSVerbHandler"/>
  <remove name="TRACEVerbHandler"/>
  <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="*" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0"/>
</handlers>

et app.la piscine doit être réglé sur le mode Intégré.

j'ai eu ce même problème. Pour moi, la solution était de supprimer le type de contenu personnalisé de l'appel AJAX jQuery. Les types de contenu personnalisés déclenchent la demande pré-vol. J'ai trouvé ceci:

le navigateur peut sauter la demande avant le vol si les conditions suivantes sont vraies:

la méthode de requête est GET , HEAD , ou POST , et "1519190920

la demande ne définit aucun en-tête de requête autre que Accept , Accept-Language , Content-Language , Content-Type , ou Last-Event-ID , et

l'en-tête Content-Type (si elle est définie) est l'un des suivants:

• application/x-www-form-urlencoded
• multipart/form-data
• text/plain