ABP.io框架Windows身份验证IIS部署后无法获取真实用户的技术问询

需求与问题描述 #

在ABP.io 6.0.3版本项目（基于.NET Core、MS SQL Server、Angular UI，采用授权码流）中，需实现Windows身份验证：获取真实Windows用户名，当该用户存在于ABP数据库时自动完成登录。已重写登录页并创建继承自LoginModel的CustomLoginModel，实现代码如下：

var windowsUser = WindowsIdentity.GetCurrent().Name;

if (windowsUser.Contains('\'))
{
    windowsUser = windowsUser.Split('\')[1];
}

await IdentityOptions.SetAsync();

var user = await UserManager.FindByNameAsync(windowsUser);

if (user == null)
{
    Alerts.Danger($"User {windowsUser} not found!");
    return Page();
}

if (await UserManager.IsLockedOutAsync(user))
{
    Alerts.Warning(L["UserLockedOutMessage"]);
    return Page();
}

await SignInManager.SignInAsync(user, LoginInput.RememberMe);

await IdentitySecurityLogManager.SaveAsync(new IdentitySecurityLogContext()
{
    Identity = IdentitySecurityLogIdentityConsts.Identity,
    Action = "Succeeded",
    UserName = user.UserName
});

return RedirectSafely(ReturnUrl, ReturnUrlHash);

本地运行时功能正常，但部署到IIS后，获取到的是应用池用户而非真实Windows用户名，需解决该问题。

解决步骤 #

1. 配置IIS站点身份验证 #

• 打开IIS管理器，定位到目标站点，进入身份验证功能
• 禁用匿名身份验证，启用Windows身份验证
• 进入应用池的高级设置，将进程模型下的加载用户配置文件设置为True

2. 启用项目的Windows身份验证中间件 #

在项目的Program.cs（.NET 6+）或Startup.cs中，确保Windows身份验证中间件在认证、授权中间件之前注册：

// .NET 6+ Program.cs示例
app.UseWindowsAuthentication();
app.UseAuthentication();
app.UseAuthorization();

3. 修改CustomLoginModel获取真实用户身份 #

替换原有的WindowsIdentity.GetCurrent()逻辑，从当前请求的HttpContext中获取用户身份：

// 获取当前请求的Windows身份
var windowsIdentity = HttpContext.User.Identity as WindowsIdentity;
if (windowsIdentity == null)
{
    Alerts.Danger("Windows身份验证未启用，请检查IIS配置！");
    return Page();
}

var windowsUser = windowsIdentity.Name;
if (windowsUser.Contains('\\'))
{
    windowsUser = windowsUser.Split('\\')[1];
}

// 后续用户校验、登录逻辑保持不变...

4. 配置ABP的Windows身份验证选项 #

在AuthServer模块类（如YourProjectNameAuthServerModule）中，配置ABP的Windows身份验证参数：

public override void ConfigureServices(ServiceConfigurationContext context)
{
    var configuration = context.Services.GetConfiguration();
    
    Configure<AbpWindowsAuthenticationOptions>(options =>
    {
        options.IsEnabled = true;
        // 可选：限制允许登录的域列表
        // options.AllowedDomains = new List<string> { "YOUR_COMPANY_DOMAIN" };
    });
}

5. 补充IIS环境配置检查 #

• 若部署在域环境，确保客户端机器与IIS服务器处于同一域或已建立信任关系
• 若应用池使用域账户运行，需确保该账户拥有站点物理路径的读写权限

内容的提问来源于stack exchange，提问作者togor.235