如何在前端捕获Windows登录用户名并传递至内部API？

一、前端直接获取Windows用户名的限制 #

浏览器出于安全考虑，没法通过JavaScript直接读取Windows登录弹窗里的凭证，也拿不到当前登录的AD用户名——以前IE的ActiveX能实现，但现在主流浏览器全禁用了这类方式。纯前端方案走不通。

二、可行的实现方法（前后端配合） #

1. 开启Windows身份验证的模拟/委派 #

如果前端网站和API都部署在IIS上：

• 给前端网站的IIS站点开启Windows身份验证，关闭匿名身份验证。
• 配置应用程序池启用模拟，这样前端网站运行时会使用登录用户的身份，而非AppPool账户。
• 同时给API的IIS站点也开启Windows身份验证，同服务器场景下基本无需额外配置；跨服务器则需要配置Kerberos约束委派，让前端能将用户身份转交给API。
• 完成配置后，前端调用API时会自动携带用户的AD身份，API可直接识别实际登录用户，无需手动传递用户名。

2. 后端获取用户名后由前端传递 #

如果无法配置委派或受环境限制：

• 前端网站的后端（比如ASP.NET、Node.js）可通过Windows身份验证获取当前登录用户名，再提供一个接口将用户名返回给前端。
• 前端调用该接口拿到用户名后，在调用API时通过请求头（比如X-User-Name）或请求参数传递给API。
• 示例代码：
  • 前端JS：

    // 从后端获取当前用户名
    async function getCurrentUser() {
      const res = await fetch('/api/get-current-user');
      const data = await res.json();
      return data.userName;
    }
    
    // 调用内部API时携带用户名
    async function callInternalApi() {
      const userName = await getCurrentUser();
      const res = await fetch('/internal-api/your-endpoint', {
        method: 'GET',
        headers: {
          'X-User-Name': userName
        }
      });
      const result = await res.json();
      // 处理返回结果
    }
    

  • 后端（以ASP.NET为例）获取用户名：

    [HttpGet("get-current-user")]
    public IActionResult GetCurrentUser()
    {
      // 开启Windows身份验证后，User.Identity.Name即为AD用户名
      return Ok(new { userName = User.Identity.Name });
    }
    

• 注意：API端需验证请求头的合法性，比如检查请求是否来自可信前端，避免伪造用户名。

3. 利用NTLM/Kerberos自动身份验证 #

确保前端网站和API都启用Windows身份验证，且浏览器将内部网站加入可信站点列表——这种情况下浏览器会自动发送NTLM/Kerberos凭证，前端调用API时会自动携带用户身份，API可直接识别实际用户，无需手动传递。

总结 #

纯前端（靠JavaScript+Windows弹窗）无法实现捕获用户名的需求，受限于浏览器安全机制。最优方案是通过IIS的Windows身份验证+模拟/委派，让API自动识别用户身份；若无法配置该方案，可采用后端获取用户名后由前端传递的方式，同时做好安全校验。

内容的提问来源于stack exchange，提问作者Alaa