.NET应用对接外部服务：如何使用Windows用户凭证替代IIS服务器凭证

要实现将访问应用的Windows用户凭证传递给外部服务，需完成以下核心配置与代码修改：

1. 配置IIS与Kerberos约束委派 #

• 确保IIS站点启用Windows身份验证，禁用匿名身份验证。
• 在Active Directory中，为IIS服务器的计算机账户（或应用池使用的域服务账户）配置约束委派，允许其委派到目标外部服务的SPN（服务主体名称）。
  • 注：若外部服务为Windows服务，需先为其注册对应SPN。

2. 修改.NET代码传递用户凭证 #

替换原代码中固定的服务器凭证，改为获取当前访问用户的Windows身份凭证，同时避免使用静态HttpClient实例（防止跨请求凭证复用混乱）。

修改后的代码示例：

public static async Task<string> Connect(string url)
{
    var windowsIdentity = HttpContext.Current.User.Identity as WindowsIdentity;
    if (windowsIdentity == null)
    {
        throw new InvalidOperationException("当前请求未启用Windows身份验证");
    }

    using (var handler = new HttpClientHandler())
    {
        // 获取当前访问用户的网络凭证
        handler.Credentials = new NetworkCredential(windowsIdentity.Name, "", windowsIdentity.Domain);
        handler.UseDefaultCredentials = true;

        using (var httpClient = new HttpClient(handler))
        {
            HttpResponseMessage response = await httpClient.GetAsync(url);

            if (response.IsSuccessStatusCode)
            {
                return await response.Content.ReadAsStringAsync();
            }
            else
            {
                throw new HttpRequestException($"请求失败，状态码：{(int)response.StatusCode} {response.ReasonPhrase}");
            }
        }
    }
}

关键说明 #

• 若为ASP.NET Core项目，需将HttpContext.Current.User替换为注入的HttpContext对象的User属性。
• 必须保证Kerberos委派配置生效，否则仍会使用IIS服务器/应用池的凭证发起请求。

内容的提问来源于stack exchange，提问作者dzyzus