Firefox无法与Identity Server的Negotiate认证方案兼容

针对你升级.NET7后用Negotiate认证导致Firefox访问Identity Server返回未授权的问题，可通过以下服务端配置调整，无需修改浏览器设置：

• 校验并配置正确的SPN
  Firefox对Kerberos/NTLM的服务主体名称（SPN）校验更严格，必须保证服务注册的SPN和请求域名完全匹配。用以下命令为Identity Server服务账号注册SPN：

  setspn -S HTTP/your-identity-server-domain.com DOMAIN\service-account
  

  注意替换实际的域名和服务账号，避免用IP地址或不匹配的子域名。

• 调整Negotiate认证的挑战响应头
  修改Startup.cs里的Negotiate配置，强制返回包含Negotiate和NTLM的WWW-Authenticate头，触发Firefox的认证流程：

  services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
      .AddNegotiate(options =>
      {
          options.Events = new NegotiateEvents
          {
              OnChallenge = context =>
              {
                  context.Response.Headers.Append("WWW-Authenticate", "Negotiate");
                  context.Response.Headers.Append("WWW-Authenticate", "NTLM");
                  return Task.CompletedTask;
              }
          };
      })
      .AddCookie();
  

  默认Negotiate可能只返回Kerberos挑战，Firefox拿不到Kerberos票据会直接拒接，加NTLM fallback能兼容更多场景。

• 优化Cookie认证的SameSite属性
  Firefox对Cookie的SameSite策略限制更严，根据部署场景调整Cookie配置：

  services.AddCookie(options =>
  {
      // 同域部署用Lax，跨域部署用None（需HTTPS）
      options.Cookie.SameSite = SameSiteMode.Lax;
      options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
  });
  

  跨域场景下必须设为SameSiteMode.None且启用HTTPS，否则Firefox不会保存认证Cookie。

• 保留Windows认证作为回退
  若上述配置仍有问题，可在Authorize特性中同时指定Negotiate和Windows两个认证Scheme，让Firefox自动适配：

  [Authorize(AuthenticationSchemes = $"{NegotiateDefaults.AuthenticationScheme},Windows")]
  

内容的提问来源于stack exchange，提问作者Lorenzo