我的问题是如何配置IIS网站托管ASP.NET应用程序以允许任何跨域请求？现在的细节：
我有一个ASP.NETCore应用程序（实际上是JSON服务），它会被其他来源不同的Web应用程序调用。这当然会触发CORS错误。我能够解决CORS错误，而它是在Kestrel运行。我至少有两种方法是工作-一个看起来像这样：

builder.Services.AddCors(options =>
    {
        options.AddDefaultPolicy(
                          policy =>
                          {
                              policy
                                .AllowAnyOrigin()
                                .AllowAnyMethod()
                                .AllowAnyHeader();
                          });
    });
    ...
    app.UseCors();

另一个看起来像这样：

app.Use((context, next) =>
    {
        context.Response.Headers.Add("Access-Control-Allow-Origin", new[] { "*" });
        context.Response.Headers.Add("Access-Control-Allow-Headers", new[] { "Origin, X-Requested-With, Content-Type, Accept" });
        context.Response.Headers.Add("Access-Control-Allow-Methods", new[] { "GET, POST, PUT, DELETE, OPTIONS" });
        context.Response.Headers.Add("Access-Control-Allow-Credentials", new[] { "true" });
        if (context.Request.Method == "OPTIONS")
        {
            context.Response.StatusCode = 200;
            return context.Response.WriteAsync("OK");
        }
        // Call the next delegate/middleware in the pipeline.
        return next(context);
    });

两者都可以工作，但现在我需要在IIS下托管同一个应用程序。所以我加载了“托管捆绑包”创建了一个网站，将其指向发布的应用程序，根据文档（https://learn.microsoft.com/en-us/aspnet/core/host-and-deploy/iis/?view=aspnetcore-7.0）它自己工作，但当从另一个来源调用时，我得到CORS错误。开箱即用的错误是Access-Control-Allow-Origin头丢失（即使ASP.NET应用程序添加了它）。
所以我在IIS上添加自定义头文件，如下所示

<httpProtocol>
        <customHeaders>
            <add name="Access-Control-Allow-Origin" value="*" />
            <add name="Access-Control-Allow-Methods" value="GET, POST, PUT, DELETE, OPTIONS" />
            <add name="Access-Control-Allow-Headers" value="Origin, X-Api-Key, X-Requested-With, Content-Type, Accept, Authorization" />
            <add name="Access-Control-Allow-Credentials" value="true" />
        </customHeaders>
    </httpProtocol>

现在不是关于Access-Control-Allow-Origin missing的错误，我得到了一个说它有2个值。因此，我删除了ASP.NET应用程序中添加这些头的代码，但保留了在IIS中添加这些头的xml。现在我得到一个CORS错误，关于预检请求没有得到状态200。据我所知，preflight请求发送OPTION，只要它返回200（就像我在C#中所做的那样）就可以了。它只需要在IIS上，因为它没有进入ASP.NET应用程序。在查看类似的问题时，我尝试了很多方法-在web.config中使用各种xml，并一度重定向到OPTION，但到目前为止都没有效果
似乎相关的内容是x1c 0d1x
我试过用

<handlers>
    <remove name="OPTIONSVerbHandler" />

这也无济于事。底线是

*当IIS没有Access-Control-Allow-Origin标头时，无论ASP.NET应用程序有什么，我都会得到“missing Access-Control-Allow-Origin header”。
*当IIS有Access-Control-Allow-Origin头，而ASP.NET也有，我得到一个错误，有2个，只允许一个。
*当IIS有Access-Control-Allow-Origin头而ASP.NET没有时，我得到一个错误，即preflight请求没有获得200状态。

我尝试的最新事情是在IIS上安装和配置CORS模块，这也不起作用。见评论