Blazor 7结合IIS实现Windows身份验证单点登录问题咨询

一、项目端核心配置确认 #

首先确保Blazor项目的身份验证服务和中间件配置正确，这是自动传递凭证的基础：

1. Program.cs 配置 #

var builder = WebApplication.CreateBuilder(args);

// 注册Windows身份验证服务（使用Negotiate方案，支持Kerberos/NTLM）
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

// 设置默认授权策略，强制所有请求需认证
builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = options.DefaultPolicy;
});

// Blazor组件服务配置（根据你的交互模式调整，这里以Server为例）
builder.Services.AddRazorComponents()
    .AddInteractiveServerComponents();

var app = builder.Build();

// 中间件顺序必须是：认证 → 授权
app.UseAuthentication();
app.UseAuthorization();

// 静态文件、防伪造等中间件
app.UseStaticFiles();
app.UseAntiforgery();

app.MapRazorComponents<App>()
    .AddInteractiveServerRenderMode();

app.Run();

2. web.config 配置 #

确保web.config中明确禁用匿名、启用Windows身份验证，同时指定正确的ASP.NET Core模块：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <location path="." inheritInChildApplications="false">
    <system.webServer>
      <security>
        <authentication>
          <anonymousAuthentication enabled="false" />
          <windowsAuthentication enabled="true" />
        </authentication>
      </security>
      <handlers>
        <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModuleV2" resourceType="Unspecified" />
      </handlers>
      <aspNetCore processPath="dotnet" arguments=".\YourBlazorApp.dll" stdoutLogEnabled="false" hostingModel="inprocess" />
    </system.webServer>
  </location>
</configuration>

二、IIS服务器端关键设置 #

1. 禁用匿名身份验证：在站点的「身份验证」功能中，必须关闭匿名身份验证——仅开启Windows身份验证不足以避免登录弹窗，因为IIS会优先尝试匿名访问，失败后才会触发Windows验证。
2. 确认Windows验证的Providers：进入Windows身份验证的「高级设置」，确保Negotiate和NTLM都在启用列表中（Negotiate是Kerberos自动认证的核心）。
3. 应用程序池权限：
   • 如果使用ApplicationPoolIdentity，需确保该虚拟账号对站点根目录有读取/执行权限；
   • 如果使用域账号作为应用池身份，需确认账号在域内有合法权限，且客户端与服务器处于同一域或双向信任域。

三、客户端浏览器配置 #

浏览器默认仅对「本地Intranet」区域自动传递Windows凭证，需做如下设置：

1. 添加站点到本地Intranet区域：
   • 打开IE/Edge的「Internet选项」→「安全」→「本地Intranet」→「站点」→「高级」，将你的站点URL添加进去；
2. Edge额外设置：
   • 进入Edge设置→「隐私、搜索和服务」→「安全性」→「更多安全设置」，开启「允许网站请求你的Windows凭证」选项。

四、域环境下Kerberos认证排查（可选） #

如果是域内部署，Kerberos认证失败会导致 fallback到NTLM，进而弹出登录框：

• 注册SPN（服务主体名称）：使用域管理员账号执行命令，为服务器注册HTTP服务的SPN：

  setspn -S HTTP/your-server-name.your-domain.com domain\app-pool-account
  

• 确认客户端与服务器处于同一域，或存在双向信任关系，跨域场景下Kerberos无法自动传递凭证。

内容的提问来源于stack exchange，提问作者Brian