IIS配置多域名跨域，和跨域session保持

搜索一大堆折腾了一轮，都是屁！ 

IIS配置跨域问题终极解决方案--> 原来微软官方发布过专门的 IIS CORS模块，文件大小不到1M。

下载地址：https://www.iis.net/downloads/microsoft/iis-cors-module

官方参考手册：

https://learn.microsoft.com/zh-cn/iis/extensions/cors-module/cors-module-configuration-reference

若要解决session（cookie）问题，还要安装微软官方的URL Rewrite模块。（安装完要关闭IIS管理器，再重新打开管理器才见到-->关闭管理器操作界面，不是在管理器上停止站点。）

下载地址：https://www.iis.net/downloads/microsoft/url-rewrite

允许跨域访问：

<system.webServer>
	<cors enabled="true">
		<add origin="http://127.0.0.1:86"
			 allowCredentials="true"
			 maxAge="120"> 
			<allowHeaders allowAllRequestedHeaders="true" />
		</add>
		
		<add origin="https://www.mysite.com"
			 allowCredentials="true"
			 maxAge="120"> 
			<allowHeaders allowAllRequestedHeaders="true" />
		</add>
	</cors>
</system.webServer>

允许session、cookie：

   <system.webServer>
		<rewrite>
			<outboundRules>
			  <clear />
			  <rule name="Add SameSite" preCondition="No SameSite">
				<match serverVariable="RESPONSE_Set_Cookie" pattern=".*" negate="false" />
				<action type="Rewrite" value="{R:0}; SameSite=None; Secure" />
			  </rule>
			  <preConditions>
				<preCondition name="No SameSite">
				  <add input="{RESPONSE_Set_Cookie}" pattern="." />
				  <add input="{RESPONSE_Set_Cookie}" pattern="; SameSite=None; Secure" negate="true" />
				</preCondition>
			  </preConditions>
			</outboundRules>
		  </rewrite>
    </system.webServer>

设置HttpOnly=false  （加上<system.web><httpCookies httpOnlyCookies="false" requireSSL="true" /></system.web>）

   <system.webServer>
		<rewrite>
			<outboundRules>
			  <clear />
			  <rule name="Add SameSite" preCondition="No SameSite">
				<match serverVariable="RESPONSE_Set_Cookie" pattern=".*" negate="false" />
				<action type="Rewrite" value="{R:0}; SameSite=None; Secure" />
			  </rule>
			  <preConditions>
				<preCondition name="No SameSite">
				  <add input="{RESPONSE_Set_Cookie}" pattern="." />
				  <add input="{RESPONSE_Set_Cookie}" pattern="; SameSite=None; Secure" negate="true" />
				</preCondition>
			  </preConditions>
			</outboundRules>
		  </rewrite>
    </system.webServer>

    <system.web> <!--如果 rewrite 设置了HttpOnly=false应该就可以，但我不知道为什么我通过rewrite 没有搞定http only，可能是我写法有问题-->
      <httpCookies httpOnlyCookies="false" requireSSL="true" />
    </system.web>

关于跨域sessionid每次都变，折腾了很久，才搞明白原来是浏览器把cookie拦住、移除了，request headers里面cookie无法发送到服务器端。 （关于samesite属性，参考：https://blog.csdn.net/weixin_38289101/article/details/127977426

另外，django可以对session的cookie是否允许跨域进行设置的（设置后可以不用iis rewrite？）

SESSION_COOKIE_NAME ＝ "sessionid"           # Session的cookie保存在浏览器上时的key，即：sessionid＝随机字符串（默认）
SESSION_COOKIE_PATH ＝ "/"                   # Session的cookie保存的路径（默认）
SESSION_COOKIE_DOMAIN = None                 # Session的cookie保存的域名（默认）
SESSION_COOKIE_SECURE = False                # 是否Https传输cookie（默认）
SESSION_COOKIE_HTTPONLY = True               # 是否Session的cookie只支持http传输（默认）
SESSION_COOKIE_AGE = 1209600                 # Session的cookie失效日期（2周）（默认）
SESSION_EXPIRE_AT_BROWSER_CLOSE = False      # 是否关闭浏览器使得Session过期（默认）
SESSION_SAVE_EVERY_REQUEST = False           # 是否每次请求都保存Session，默认修改之后才保存（默认）




另session引擎设置：
----------
1. 数据库Session
SESSION_ENGINE = 'django.contrib.sessions.backends.db'   # 引擎（默认）

2. 缓存Session
SESSION_ENGINE = 'django.contrib.sessions.backends.cache'  # 引擎
SESSION_CACHE_ALIAS = 'default'                            # 使用的缓存别名（默认内存缓存，也可以是memcache），此处别名依赖缓存的设置

3. 文件Session
SESSION_ENGINE = 'django.contrib.sessions.backends.file'    # 引擎
SESSION_FILE_PATH = None                                    # 缓存文件路径，如果为None，则使用tempfile模块获取一个临时地址tempfile.gettempdir() 

4. 缓存+数据库
SESSION_ENGINE = 'django.contrib.sessions.backends.cached_db'        # 引擎

5. 加密Cookie Session
SESSION_ENGINE = 'django.contrib.sessions.backends.signed_cookies'   # 引擎
————————————————

# 关键设置项：
SESSION_COOKIE_HTTPONLY = False
SESSION_COOKIE_SAMESITE = 'None'
SESSION_COOKIE_SECURE = True

---------------------------------

经历跟这个差不多https://blog.csdn.net/weixin_53281846/article/details/130464078

搜索了一轮，自己实践发现iis中填多条Access-Control-Allow-Origin记录、逗号分隔、正则表达式这些是不行的。另外好像无论Ngxin还是Tomcat等都要rewrite之类的方法。由于仅仅是测试，所以暂时用*通配符算了。记录一下参考，要的时候再研究

CORS Enabled - W3C Wiki

在 Web.config 中，配置允许多个指定的域名进行跨域访问 - 简书 (jianshu.com)

asp.net - Access-control-allow-origin with multiple domains - Stack Overflow

Cors跨域(三)：Access-Control-Allow-Origin多域名？_access-control-allow-origin 多个域名-CSDN博客