如何避免IIS服务器上.NET6 WebAPI的Windows身份验证登录弹窗？

你的问题核心在于IIS层面强制拦截了未认证请求，加上.NET配置的全局授权策略，导致请求还没到自定义Login端点就触发了Windows认证弹窗。需要同时调整IIS设置和.NET代码才能解决：

一、IIS设置调整 #

1. 启用Anonymous Authentication，同时禁用Windows Authentication
   • 之前你禁用了匿名认证，IIS会在请求进入.NET代码前就强制要求Windows登录，直接弹出认证框，你的自定义Login端点根本接收不到请求。必须开启匿名，让所有请求能先到达后端，再由.NET的授权逻辑控制访问权限。
2. 确认应用程序池身份：如果需要访问内网LDAP服务器，应用程序池的运行账户（比如ApplicationPoolIdentity或域账户）需要具备LDAP查询权限。

二、.NET6代码修改 #

1. 移除系统默认的Windows认证配置 #

你不需要AddNegotiate相关的Windows自动认证逻辑，直接删除以下代码：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
   .AddNegotiate();

2. 调整授权策略，放开Login端点权限 #

把全局回退策略改为允许匿名，仅对需要保护的API端点单独添加授权限制：

builder.Services.AddAuthorization(options =>
{
    // 全局默认允许匿名访问，仅对需要保护的端点添加[Authorize]
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .AllowAnonymous()
        .Build();
});

3. 标记Login端点允许匿名 #

在你的Login接口控制器或Action上添加[AllowAnonymous]特性（如果之前没加的话）：

[AllowAnonymous]
[HttpPost("Login")]
public async Task<IActionResult> Login([FromBody] LoginRequest request)
{
    // 这里编写你的LDAPS认证逻辑
}

4. 保留CORS配置（无需修改） #

你的CORS配置已经包含AllowCredentials，符合内网跨域需求，继续保留即可。

验证逻辑 #

修改后，所有请求都会先到达.NET后端：

• 访问Login端点时，匿名被允许，执行你自定义的LDAPS认证逻辑
• 访问其他需要保护的端点时，你可以在代码中检查用户是否已通过Login认证，未认证则返回401，由前端处理跳转或提示

内容的提问来源于stack exchange，提问作者Karumanchi Srikanth