根据AhmadWabbi的回答，可以轻松地将XML粘贴到您的web.config中：

<system.webServer>
    <rewrite>
        <rules>
            <rule name="CORS Preflight Anonymous Authentication" stopProcessing="true">
                <match url=".*" />
                <conditions>
                    <add input="{REQUEST_METHOD}" pattern="^OPTIONS$" />
                </conditions>
                <action type="CustomResponse" statusCode="200" statusReason="Preflight" statusDescription="Preflight" />
            </rule>
        </rules>
    </rewrite>
</system.webServer>

这里是使用“URL重写”IIS模块的解决方案。它工作得很完美。
1-停止IIS服务（可能不需要）
2-从https://www.microsoft.com/web/downloads/platform.aspx安装“Web平台安装程序”
3-转到“应用程序”选项卡，搜索“URL重写”并下载
4-安装此修复程序KB2749660（可能不需要）
5-打开IIS配置工具，双击“URL重写”
6-添加新的空白规则
7-给它取任何名称
8-在“匹配URL”中，指定此模式：.*
9-在“条件”中，指定以下条件条目：{REQUEST_METHOD}和此模式：^OPTIONS$
10-在“操作”中，指定：操作类型Personalized response，状态代码200，原因Preflight，说明Preflight
11-启动服务器
现在，服务器应使用200状态代码响应预检请求，而不考虑身份验证。
备注：我还禁用了所有压缩，我不知道这是否重要。

为了使您的模块具有优先权，它必须覆盖IIS中可能会干扰的任何模块。例如，您的web.config可能需要一个或启用匿名，并创建一个属性来拦截通信并根据需要进行过滤。

所有涉及到编写代码、使用重写模块或在web.config中硬编码值的答案在编写时都是正确的，但我相信在2020年解决这个问题的正确答案是使用official IIS CORS module。这将处理所有的小问题，比如必须允许未经身份验证的OPTIONS请求，而不支持未经身份验证的用户。
This related answer提供了一些关于使用此模块的非常详细的信息，但最简单的配置就在顶部：

<system.webServer>
    <cors enabled="true">
      <add origin="*" allowCredentials="true" />
    </cors>
  </system.webServer>

我当然会将origin="*"更改为您希望使用的API的特定来源。您可以有多个<add>标记，链接的答案显示了如何为每个标记定制允许的头、方法等。

虽然这是一个老主题，但下面的文章值得一读。这里有两个解决方案-一个使用授权规则，另一个使用IIS Cors模块。我遇到了这个主题中描述的完全相同的问题，两个解决方案都很好用。
https://techcommunity.microsoft.com/t5/iis-support-blog/putting-it-all-together-cors-tutorial/ba-p/775331
我的API网站的web.config有以下cors配置：

<cors enabled="true" failUnlistedOrigins="true">
    <add origin="http://clienthost:clientport" allowCredentials="true">
      <allowHeaders allowAllRequestedHeaders="true" />
      <allowMethods>
        <add method="GET" />
        <add method="HEAD" />
        <add method="POST" />
        <add method="PUT" /> 
        <add method="DELETE" />   
      </allowMethods>
    </add>      
  </cors>

我在使用Cors模块解决方案时禁用了匿名身份验证。