Blazor Server应用DevTunnels中Windows身份验证失效问题求助

问题背景 #

我有一个启用Windows身份验证的Blazor Server应用，服务器配置如下：

builder.Services.AddAuthentication(HttpSysDefaults.AuthenticationScheme);
builder.WebHost.UseHttpSys(options =>
{
    options.Authentication.Schemes =
        AuthenticationSchemes.Negotiate |
        AuthenticationSchemes.NTLM;
    options.Authentication.AllowAnonymous = false;
});

启动配置文件：

"http": {
      "commandName": "Project",
      "dotnetRunMessages": true,
      "launchBrowser": false,
      "applicationUrl": "http://localhost:5105",
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development",
      }
    },

本地访问localhost:5105正常，无痕模式输入Windows凭据也能成功，但通过本机Dev Tunnel URL访问时，多次尝试不同格式的凭据均无法通过，反复弹出登录提示。

可能的原因 #

• HTTP协议限制：Negotiate（Kerberos）身份验证要求HTTPS环境或站点属于本地Intranet区域，HTTP协议下浏览器会限制凭据传递，而Dev Tunnel的公共域名默认不在本地Intranet区域，导致验证失败。
• Kerberos SPN缺失：Kerberos需要为服务注册对应的SPN（服务主体名称），Dev Tunnel的域名未在本地机器注册SPN，无法生成有效身份验证票据，回退到NTLM后也可能因隧道转发破坏交互流程而失败。
• 浏览器安全策略：现代浏览器对非本地域名默认不自动发送Windows凭据，即使Dev Tunnel指向本地，也会被视为外部站点，拒绝自动传递凭据。
• HttpSys与隧道的交互问题：Dev Tunnel的请求转发会修改请求来源，NTLM依赖客户端与服务器的直接交互，隧道可能中断这一流程，导致服务器无法正确解析客户端身份。

解决办法 #

• 切换到HTTPS启动应用：修改启动配置的applicationUrl为HTTPS地址（如https://localhost:7105），同时配置Dev Tunnel使用HTTPS。HTTPS环境满足Kerberos的安全要求，也能让浏览器更信任站点并传递凭据。
• 将Dev Tunnel域名加入浏览器本地Intranet区域：
  1. 打开Edge/IE的「Internet选项」→「安全」→「本地Intranet」→「站点」→「高级」。
  2. 添加Dev Tunnel的域名（如*.devtunnels.ms），并开启「自动登录到Intranet区域中的所有站点」选项。
• 强制使用NTLM身份验证：修改HttpSys配置，只保留NTLM协议，避免Kerberos失败后的回退问题：

  builder.WebHost.UseHttpSys(options =>
  {
      options.Authentication.Schemes = AuthenticationSchemes.NTLM;
      options.Authentication.AllowAnonymous = false;
  });
  

• 检查Dev Tunnel转发设置：确保Dev Tunnel没有过滤或修改Authorization请求头，该头部是Windows身份验证的关键信息。
• 使用本地管理员账户测试：尝试用.\管理员用户名格式输入本地管理员账户凭据，普通账户可能因权限或信任问题无法通过验证。

内容的提问来源于stack exchange，提问作者Justyna