Net Core中Windows Authentication结合Cookie共享会话的配置问题

你的核心问题在于Negotiate（Windows Authentication）的自动认证逻辑跳过了Login接口的自定义声明流程，同时Cookie认证的配置没有和Negotiate形成联动，导致系统无法自动触发Login接口来补充角色声明。具体问题点如下：

1. Negotiate认证的被动特性直接完成认证，绕过Login接口 #

Negotiate是被动式认证中间件，只要客户端（比如浏览器）自动发送了Windows域凭证，中间件会直接完成身份验证并生成基础的ClaimsPrincipal，整个过程不会触发Login接口。默认情况下，它不会主动引导用户到Login接口去补充自定义角色声明。

2. Cookie认证未设置为默认认证方案，且无Challenge跳转逻辑 #

你虽然添加了Cookie认证，但如果没有将Cookie设为默认的认证方案，系统会优先使用Negotiate完成认证，不会触发Cookie的Challenge流程。同时，没有配置当认证后的声明不完整时，自动重定向到Login接口的逻辑。

3. 声明补充逻辑依赖Login接口，但未配置触发条件 #

你期望通过Login接口来映射域组到角色声明，但没有设置当用户已通过Negotiate认证但缺少角色声明时，自动触发Login接口的机制。当前系统认为只要通过Negotiate认证就完成了身份验证，不会去检查声明是否完整。

4. 匿名认证的范围未明确限制 #

开启匿名认证后，如果没有明确配置哪些路径需要认证（比如API接口）、哪些允许匿名（比如Login接口），系统可能不会触发任何认证流程，直接允许匿名访问，更不会引导到Login接口。

调整方向 #

（1）设置Cookie为默认认证方案，Negotiate作为备选 #

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = "NegotiateOrLogin";
})
.AddCookie(options =>
{
    options.LoginPath = "/api/login";
    options.Cookie.Name = ".AspNetCore.SharedCookie";
    options.Cookie.Domain = "your-domain.com";
})
.AddNegotiate()
.AddPolicyScheme("NegotiateOrLogin", "Negotiate or Login", options =>
{
    options.ForwardDefaultSelector = context =>
    {
        if (context.Request.Cookies.ContainsKey(".AspNetCore.SharedCookie"))
        {
            return CookieAuthenticationDefaults.AuthenticationScheme;
        }
        return NegotiateDefaults.AuthenticationScheme;
    };
});

（2）用ClaimsTransformation自动补充域组角色声明（替代Login接口触发） #

如果不想依赖Login接口，可以直接在认证完成后自动转换声明，避免重复查询域组：

services.AddScoped<IClaimsTransformation, DomainGroupClaimsTransformer>();

public class DomainGroupClaimsTransformer : IClaimsTransformation
{
    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        if (!principal.HasClaim(c => c.Type == ClaimTypes.Role))
        {
            var userName = principal.Identity.Name;
            var domainGroups = await GetDomainGroups(userName);
            var identity = principal.Identity as ClaimsIdentity;
            foreach (var group in domainGroups)
            {
                identity.AddClaim(new Claim(ClaimTypes.Role, group));
            }
        }
        return principal;
    }
}

（3）配置授权策略触发Challenge #

在需要角色的API接口上添加[Authorize(Roles = "YourDomainGroup")]，当用户没有对应角色声明时，系统会触发Challenge，跳转到Login接口。

（4）明确匿名访问范围 #

在Program.cs中配置：

app.UseAuthorization();
app.MapControllers().RequireAuthorization();
app.MapGet("/api/login", () => { /* Login接口逻辑 */ }).AllowAnonymous();

内容的提问来源于stack exchange，提问作者Wolfenstyne