基于WebView的OpenID Connect认证中禁用Kerberos的实现方案

针对你需要在WinForms应用中控制是否启用Seamless SSO的需求，以下是几个可行的实现方案：

方案1：通过OIDC请求参数强制触发账号密码登录 #

Entra ID支持OIDC标准的prompt=login参数，当添加该参数时，会强制跳过SSO流程，直接显示账号密码登录页面。你可以根据勾选状态动态添加这个参数：

在初始化OidcClient或构建授权请求时，根据复选框状态设置额外参数：

var options = new OidcClientOptions
{
    Authority = "https://login.microsoftonline.com/your-tenant-id",
    ClientId = "your-client-id",
    RedirectUri = "your-redirect-uri",
    // 其他基础配置...
};

// 根据勾选状态添加prompt参数
if (!useCurrentUserCheckBox.Checked)
{
    options.ExtraParameters.Add("prompt", "login");
}

var oidcClient = new OidcClient(options);

这个方案无需修改WebView配置，直接通过OIDC协议层面控制认证流程，兼容性好。

方案2：配置WebView2禁用Kerberos自动认证 #

如果你使用的是WebView2控件，可以通过修改浏览器启动参数或环境配置，禁止WebView自动发送Kerberos票据：

方法A：添加浏览器启动参数 #

初始化WebView2时，通过CoreWebView2EnvironmentOptions添加禁用Kerberos认证的参数：

// 初始化WebView2环境
var envOptions = new CoreWebView2EnvironmentOptions();
// 禁用Microsoft身份验证协商（包含Kerberos）
envOptions.AdditionalBrowserArguments = "--disable-features=msAuthNegotiate";

var environment = await CoreWebView2Environment.CreateAsync(null, null, envOptions);
await webView2Control.EnsureCoreWebView2Async(environment);

方法B：拦截身份验证请求 #

通过WebAuthenticationRequested事件，在未勾选「使用当前用户」时，拦截Kerberos认证请求：

webView2Control.CoreWebView2.WebAuthenticationRequested += (sender, e) =>
{
    if (!useCurrentUserCheckBox.Checked && e.ChallengeScheme.Equals("Negotiate", StringComparison.OrdinalIgnoreCase))
    {
        // 拒绝Kerberos认证，强制服务器返回账号密码登录要求
        e.Response = new CoreWebView2WebAuthenticationResponse
        {
            StatusCode = 401,
            Headers = { { "WWW-Authenticate", "Basic" } }
        };
        e.Handled = true;
    }
};

方案3：清除WebView的身份验证缓存 #

在未勾选「使用当前用户」时，先清除WebView中存储的身份验证缓存，再发起认证请求：

if (!useCurrentUserCheckBox.Checked)
{
    // 清除WebView2的身份验证相关缓存
    await webView2Control.CoreWebView2.ClearBrowsingDataAsync(
        DateTimeOffset.MinValue,
        DateTimeOffset.Now,
        CoreWebView2BrowsingDataKinds.AuthenticationData);
}

// 发起OIDC认证请求
var result = await oidcClient.LoginAsync();

这个方案可以确保WebView没有保存的SSO凭据，从而触发账号密码登录。

注意事项 #

• prompt=login参数优先级最高，即使WebView存在SSO凭据，Entra ID也会强制显示登录页，推荐优先使用该方案。
• WebView2的浏览器参数可能随版本更新变化，测试时需确认当前WebView2版本支持对应的参数。
• 若使用旧版WebBrowser控件，可以通过InternetSetOption API清除IE的身份验证缓存，但WebView2是更推荐的替代方案。

内容的提问来源于stack exchange，提问作者Ar Es