在新版ASP.NET React+Vite SPA模板中实现Windows身份验证

针对你遇到的新版ASP.NET React模板（Vite打包）中静态文件身份验证无效的问题，可按以下步骤解决：

1. 确保Windows身份验证已正确启用 #

• IIS配置：在部署的IIS站点中，启用「Windows身份验证」并禁用「匿名身份验证」。
• 项目配置：在launchSettings.json中更新IIS设置，确保Windows身份验证开启：

  "iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false
  }
  

2. 调整Program.cs中的身份验证与授权配置 #

全局授权策略是最简洁的方式，可确保所有请求（包括静态文件）都需经过身份验证：

var builder = WebApplication.CreateBuilder(args);

// 添加Windows身份验证服务
builder.Services.AddAuthentication(IISDefaults.AuthenticationScheme);

// 设置默认授权策略：所有请求必须经过身份验证
builder.Services.AddAuthorization(options =>
{
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

// 中间件顺序必须严格遵循：认证 → 授权 → 静态文件 → 路由
var app = builder.Build();

app.UseHttpsRedirection();
app.UseAuthentication(); // 先处理身份验证
app.UseAuthorization();  // 再应用授权策略

// 静态文件中间件会自动继承全局授权规则
app.UseStaticFiles();

// SPA fallback路由同样需要验证
app.MapFallbackToFile("index.html").RequireAuthorization();

app.Run();

3. 为什么原代码无效？ #

你的原代码未生效主要有两个原因：

• 中间件顺序问题：新版模板默认已注册app.UseStaticFiles()，如果你的自定义配置在它之后添加，默认中间件会先处理静态文件请求，导致你的逻辑无法触发。
• 身份验证未启用：若未在项目或IIS中开启Windows身份验证，User.Identity.IsAuthenticated始终为false，逻辑无法正确判断用户状态。

备选方案：单独针对静态文件配置验证 #

如果你不想使用全局授权策略，可单独为静态文件（包括Assets目录）配置带验证的中间件，注意要放在默认静态文件中间件之前：

// 先处理Assets目录的静态文件验证
app.UseStaticFiles(new StaticFileOptions
{
    FileProvider = new PhysicalFileProvider(
        Path.Combine(builder.Environment.ContentRootPath, "wwwroot", "Assets")),
    RequestPath = "/Assets",
    OnPrepareResponse = ctx =>
    {
        if (!ctx.Context.User.Identity.IsAuthenticated)
        {
            ctx.Context.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
            ctx.Context.Response.ContentLength = 0;
            ctx.Context.Response.Body = Stream.Null;
        }
    }
});

// 再处理根目录静态文件的验证
app.UseStaticFiles(new StaticFileOptions
{
    OnPrepareResponse = ctx =>
    {
        if (!ctx.Context.User.Identity.IsAuthenticated)
        {
            ctx.Context.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
            ctx.Context.Response.ContentLength = 0;
            ctx.Context.Response.Body = Stream.Null;
        }
    }
});

// 不要忘记启用身份验证中间件
app.UseAuthentication();
app.UseAuthorization();

内容的提问来源于stack exchange，提问作者AssistantToTheRegionalManager