.NET 4.7 ASP.NET应用基于Owin集成Azure AD认证（禁用匿名认证）方案

当禁用匿名认证后，IIS会在Owin中间件处理请求之前就拦截所有未认证请求，强制使用IIS自带的认证方式（如Windows认证），导致Owin的OpenIdConnect认证流程无法触发，进而抛出错误。以下是无需调整客户端结构的可行方案：

方案一：配置URL级别的授权规则（推荐） #

通过在web.config中设置路径授权规则，仅允许匿名访问Azure AD认证回调路径和登录触发路径，其他路径强制要求认证。这样既可以禁用全局匿名认证，又能保证Owin认证流程正常运行。

具体实现： #

1. 在项目属性中禁用Anonymous Authentication，保持其他认证选项（如ASP.NET Impersonation）默认配置即可。
2. 修改web.config，添加<location>节点配置路径授权：

<!-- 允许匿名访问Azure AD回调路径 -->
<location path="signin-oidc">
  <system.web>
    <authorization>
      <allow users="*" />
    </authorization>
  </system.web>
</location>

<!-- 允许匿名访问触发登录的首页 -->
<location path="Home/Index">
  <system.web>
    <authorization>
      <allow users="*" />
    </authorization>
  </system.web>
</location>

<!-- 全局规则：所有其他路径需要认证 -->
<system.web>
  <authorization>
    <deny users="?" />
  </authorization>
</system.web>

3. 保留现有Startup.cs和HomeController代码不变，此时访问首页会触发Owin的Challenge流程，跳转到Azure AD登录页，其他路径会强制要求认证。

方案二：调整Owin中间件执行顺序 #

如果是因为中间件顺序问题导致IIS认证先于Owin处理，可通过UseStageMarker确保认证中间件在管道的正确阶段运行。

具体实现： #

修改Startup.cs的Configuration方法，添加UseStageMarker：

public void Configuration(IAppBuilder app)
{
    System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;
    app.SetDefaultSignInAsAuthenticationType(CookieAuthenticationDefaults.AuthenticationType);

    app.UseCookieAuthentication(new CookieAuthenticationOptions());
    app.UseOpenIdConnectAuthentication(
        new OpenIdConnectAuthenticationOptions
        {
            // 原有配置保持不变
            ClientId = clientId,
            Authority = authority,
            RedirectUri = redirectUri,
            PostLogoutRedirectUri = redirectUri,
            Scope = OpenIdConnectScope.OpenIdProfile,
            ResponseType = OpenIdConnectResponseType.CodeIdToken,
            Notifications = new OpenIdConnectAuthenticationNotifications
            {
                AuthenticationFailed = OnAuthenticationFailed
            }
        }
    );

    // 确保认证中间件在Authenticate阶段运行，优先于IIS认证逻辑
    app.UseStageMarker(PipelineStage.Authenticate);
}

同时在web.config中设置让IIS不处理认证，完全交给Owin：

<system.web>
  <authentication mode="None" />
  <authorization>
    <deny users="?" />
  </authorization>
</system.web>

最后禁用项目属性中的匿名认证，此时Owin会接管所有认证逻辑。

方案三：配置Cookie认证的自动登录跳转 #

通过设置Cookie认证的LoginPath，让未认证请求自动触发Azure AD登录，无需手动调用Challenge，这样可以去掉[AllowAnonymous]属性，同时禁用匿名认证。

具体实现： #

1. 修改Startup.cs中的CookieAuthenticationOptions：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    LoginPath = new PathString("/Home/Index"), // 指定未认证时跳转的路径
    AuthenticationType = CookieAuthenticationDefaults.AuthenticationType
});

2. 修改HomeController的Index方法，去掉[AllowAnonymous]并简化逻辑：

public class HomeController : Controller
{
    public ActionResult Index()
    {
        if (Request.IsAuthenticated)
        {
            return RedirectToActionPermanent("Index", "Admin");
        }
        // 未认证时，Cookie认证会自动触发OpenIdConnect的登录流程
        return new HttpUnauthorizedResult();
    }

    public ActionResult Error()
    {
        return View();
    }
}

3. 在web.config中设置全局认证规则：

<system.web>
  <authentication mode="None" />
  <authorization>
    <deny users="?" />
  </authorization>
</system.web>

4. 禁用项目属性中的匿名认证，此时未认证请求会被Cookie认证中间件拦截，自动跳转到Azure AD登录页。

内容的提问来源于stack exchange，提问作者Developer