如何让ASP.NET Core Razor页面每次访问都弹出Windows登录提示？

我希望浏览器在每次访问指定页面时，都提示用户输入Windows登录凭据——客户要求用户每次成功登出后都需重新输入凭据。用户在内部网络访问站点，应用使用Windows身份认证。

已完成的配置如下：

1. Startup中配置IIS服务：

if (useWindowsAuth)
{
    services.Configure<IISServerOptions>(iis =>
    {
        iis.AuthenticationDisplayName = "Windows";
        iis.AutomaticAuthentication = false;
    });
}

2. 登录页面模型添加Authorize特性：

[Authorize(AuthenticationSchemes = IISDefaults.AuthenticationScheme)]
public class WindowsModel : PageModel

3. IIS中已启用匿名认证和Windows认证。

问题现象：首次加载页面时能正确弹出凭据输入提示；但用户登录后再登出，返回登录页面时，提示不再弹出。清除浏览器缓存、Cookie和历史记录后重新加载，提示会再次出现，说明浏览器保留了认证信息。

尝试过在页面的OnGet方法中返回Unauthorized()，仅首次访问有效，后续访问仍跳过提示。

更新：登出流程与Identity Server绑定，执行以下代码清理本地Cookie后重定向回客户端：

var context = await _interaction.GetLogoutContextAsync(logoutId);

if (User?.Identity.IsAuthenticated == true)
{
    // delete local authentication cookie
    await _signInManager.SignOutAsync();
    
}

if (context != null && !string.IsNullOrEmpty(context.PostLogoutRedirectUri))
{
    return Redirect(context.PostLogoutRedirectUri);
}

return Page();   

请问如何通过编程方式注销用户，或清理浏览器缓存、Cookie等，让用户每次访问登录页面都弹出提示？是否有更优方案？

核心原理 #

Windows身份认证依赖浏览器的NTLM/Kerberos缓存，而非普通应用Cookie。浏览器会自动复用之前的认证会话，所以单纯清理应用Cookie无法触发重新认证。需要从服务端和客户端两方面入手，强制浏览器丢弃缓存的认证凭据。

方案1：登出时返回401并添加强制认证响应头 #

在登出流程的最终响应中，返回401 Unauthorized并添加WWW-Authenticate: Negotiate, NTLM头，同时禁用浏览器缓存。这样浏览器会清除当前会话的认证缓存，下次访问时重新弹出凭据框。

修改登出方法的返回逻辑：

var context = await _interaction.GetLogoutContextAsync(logoutId);

if (User?.Identity.IsAuthenticated == true)
{
    await _signInManager.SignOutAsync();
}

// 强制浏览器清除认证缓存
var response = new UnauthorizedResult();
response.Headers.Add("WWW-Authenticate", "Negotiate, NTLM");
response.Headers.Add("Cache-Control", "no-cache, no-store, must-revalidate");
response.Headers.Add("Pragma", "no-cache");
response.Headers.Add("Expires", "0");

if (context != null && !string.IsNullOrEmpty(context.PostLogoutRedirectUri))
{
    // 重定向到登录页，后续由登录页触发认证提示
    return Redirect(context.PostLogoutRedirectUri);
}

return response;

同时修改登录页的OnGet方法，确保每次访问都触发认证检查：

public async Task<IActionResult> OnGet()
{
    if (User.Identity.IsAuthenticated)
    {
        await _signInManager.SignOutAsync();
    }
    
    var response = new UnauthorizedResult();
    response.Headers.Add("WWW-Authenticate", "Negotiate, NTLM");
    response.Headers.Add("Cache-Control", "no-cache, no-store, must-revalidate");
    response.Headers.Add("Pragma", "no-cache");
    response.Headers.Add("Expires", "0");
    
    return response;
}

方案2：禁用浏览器页面缓存（客户端侧） #

在登录页的HTML中添加meta标签，强制浏览器不缓存页面内容：

<meta http-equiv="Cache-Control" content="no-cache, no-store, must-revalidate">
<meta http-equiv="Pragma" content="no-cache">
<meta http-equiv="Expires" content="0">

同时在登录页的服务端代码中设置响应头，强化缓存禁用规则：

public IActionResult OnGet()
{
    Response.Headers.Add("Cache-Control", "no-cache, no-store, must-revalidate");
    Response.Headers.Add("Pragma", "no-cache");
    Response.Headers.Add("Expires", "0");
    
    if (!User.Identity.IsAuthenticated)
    {
        return Unauthorized();
    }
    
    return Page();
}

方案3：调整IIS全局认证设置 #

在IIS站点的身份验证设置中，修改Windows认证的高级选项：

• 取消勾选“启用内核模式认证”（仅在Kerberos不影响业务时使用）
• 设置“扩展保护”为“关闭”

也可以通过web.config直接配置：

<system.webServer>
  <security>
    <authentication>
      <windowsAuthentication enabled="true" useKernelMode="false">
        <extendedProtection tokenChecking="None" />
      </windowsAuthentication>
    </authentication>
  </security>
</system.webServer>

该方案会全局强制每次请求都重新验证Windows凭据，适合不需要复用认证会话的场景。

最优方案推荐 #

优先选择方案1+方案2的组合：

1. 登出时通过服务端返回401和强制头，清除浏览器的NTLM/Kerberos缓存
2. 登录页添加缓存禁用的meta标签和响应头，防止浏览器缓存页面内容
3. 保留现有Identity Server的登出逻辑，确保本地认证Cookie被清理

这种方式既能满足客户“每次登出后重新输入凭据”的需求，又不会干扰正常认证流程，同时兼容Chrome、Edge、IE等主流浏览器。

内容的提问来源于stack exchange，提问作者jortegacdp