ASP.NET Framework 4.5.2站点Windows身份认证登录循环问题排查

• 浏览器端NTLM/Pass-through认证设置
  • Chrome/Edge打开chrome://flags/#negotiate-delegate-by-default（Edge对应edge://flags/#negotiate-delegate-by-default），确保开启允许委托默认凭据；Firefox需在about:config中将站点地址添加到network.automatic-ntlm-auth.trusted-uris和network.negotiate-auth.trusted-uris列表，避免反复触发验证弹窗。
• IIS身份验证提供程序优先级
  • 在IIS的Windows身份验证设置里，把NTLM优先级调到Negotiate之前（非Kerberos环境下）。若Negotiate在前，Kerberos认证失败回退到NTLM时，部分浏览器可能处理异常导致循环。
• 站点URL重写规则冲突
  • 检查站点是否配置了URL重写（比如HTTP转HTTPS、路径重定向），若重写过程丢失身份验证凭据上下文，服务器会反复要求认证。需确保重写规则保留Authorization头，或重定向使用307 Temporary Redirect而非302 Found。
• 应用池标识权限配置
  • 确认应用池使用的标识（如ApplicationPoolIdentity或域账户）对站点物理路径有读取权限，同时具备访问后端资源（数据库、文件共享等）的权限。权限不足会导致认证通过后访问资源失败，进而触发重新认证。
• ASP.NET Web.config身份验证节点配置
  • 检查web.config中<authentication mode="Windows"/>是否配置正确，同时确认<authorization>节点是否允许所有用户（<allow users="*"/>）或指定域用户组，避免因授权规则拦截引发认证循环。另外，不要同时启用<forms>认证或其他认证模式。
• SPN服务主体名称配置（Kerberos环境）
  • 若使用Kerberos认证，需为应用池标识和站点URL注册正确的SPN，例如执行命令setspn -S HTTP/your-site-domain.com domain\app-pool-account。SPN配置错误会导致Kerberos认证失败，强制回退到NTLM，部分浏览器会因此陷入循环。
• IIS站点高级设置中的"启用内核模式认证"
  • 查看站点高级设置里的“启用内核模式认证”选项，若开启但应用池标识不是LocalSystem这类内置账户，可能引发认证上下文异常。使用自定义应用池标识时，建议关闭该选项。

内容的提问来源于stack exchange，提问作者Frank9412