ServiceStack 8.5集成Windows身份验证，除自定义Provider外是否有其他方案？

1. 借助ASP.NET Core Windows身份验证中间件 #

如果你的ServiceStack应用基于ASP.NET Core，直接用ASP.NET Core原生的Windows身份验证中间件是最安全的选择，无需自行实现核心认证逻辑：

• 第一步，在Program.cs中启用Windows身份验证：

var builder = WebApplication.CreateBuilder(args);
// 启用Windows身份验证
builder.Services.AddAuthentication(Microsoft.AspNetCore.Authentication.Negotiate.NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = options.DefaultPolicy;
});

// 注册ServiceStack服务
builder.Services.AddServiceStack(typeof(MyServices).Assembly);

var app = builder.Build();

// 认证/授权中间件需放在ServiceStack中间件之前
app.UseAuthentication();
app.UseAuthorization();

// 挂载ServiceStack
app.UseServiceStack(new AppHost());

app.Run();

• 第二步，在ServiceStack服务中获取已认证用户信息：
  可通过Request.OriginalRequest访问ASP.NET Core的HttpContext，直接获取Windows身份数据：

public class MyServices : Service
{
    public object Any(MyRequest request)
    {
        var aspNetContext = Request.OriginalRequest as HttpContext;
        var windowsIdentity = aspNetContext?.User.Identity as WindowsIdentity;
        
        if (windowsIdentity == null)
            throw new UnauthorizedAccessException("未通过Windows身份验证");

        return new MyResponse 
        { 
            Username = windowsIdentity.Name,
            UserGroups = windowsIdentity.Groups
                .Select(g => g.Translate(typeof(NTAccount)).Value)
                .ToList()
        };
    }
}

2. 让IIS负责Windows认证（反向代理模式） #

如果应用部署在IIS上，可将Windows认证逻辑完全交给IIS处理，ServiceStack仅接收已认证的用户信息：

• IIS站点配置：

  1. 打开IIS管理器，找到目标站点 → 身份验证；
  2. 启用Windows身份验证，禁用匿名身份验证。

• ServiceStack配置：
  在AppHost中启用AspNetWindowsAuthFeature，自动读取IIS传递的身份数据：

public class AppHost : AppHostBase
{
    public AppHost() : base("My Application", typeof(MyServices).Assembly) { }

    public override void Configure(Container container)
    {
        // 启用读取IIS Windows认证信息的特性
        Plugins.Add(new AspNetWindowsAuthFeature());
    }
}

之后在服务中通过SessionAs<AuthUserSession>()即可获取用户信息，UserName字段会自动填充Windows用户名。

3. 借助API网关处理认证 #

如果架构中存在API网关（如Azure API Management、Kong等），可让网关负责Windows身份验证，验证通过后将用户身份标识（如用户名、角色）放入请求头，ServiceStack只需校验请求头中的身份信息即可。

这种方式将认证逻辑完全剥离到成熟的网关组件，ServiceStack专注业务处理，安全性由网关保障。

内容的提问来源于stack exchange，提问作者w4rcT