React + ASP.NET Core 6 Windows身份认证配置401错误排查

核心原因分析 #

直接访问接口时浏览器会自动携带Windows凭证，但跨域AJAX请求默认不会发送凭证，Chrome对跨域凭证的校验更严格，而Yandex可能默认允许或有不同的安全策略，导致二者表现差异。另外，ASP.NET Core的CORS配置需明确允许携带凭证，否则服务端会拒绝带凭证的跨域请求。

具体排查与修复步骤 #

1. 检查服务端CORS配置是否允许凭证 #

确保Program.cs中的CORS策略开启AllowCredentials()，且配置的源为精确地址（不能用*，允许凭证时源不能为通配符）。示例配置：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowReactApp", policy =>
    {
        policy.WithOrigins("http://localhost:3000")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 必须开启，否则跨域请求不会携带凭证
    });
});

// 确保在UseRouting之后、UseAuthorization之前启用CORS
app.UseCors("AllowReactApp");

注意：appsettings.json中指定的Cors源需与代码里WithOrigins的参数完全一致，包括协议和端口。

2. 前端RTK Query配置需携带凭证 #

在RTK Query的API切片配置中，设置credentials: 'include'，让AJAX请求携带Windows凭证。示例：

import { createApi, fetchBaseQuery } from '@reduxjs/toolkit/query/react';

export const adminApi = createApi({
  reducerPath: 'adminApi',
  baseQuery: fetchBaseQuery({
    baseUrl: 'https://localhost:7054/api/',
    credentials: 'include', // 关键：告知浏览器跨域请求携带凭证
  }),
  endpoints: (builder) => ({
    getUser: builder.query({
      query: () => 'admin/getUser',
    }),
  }),
});

export const { useGetUserQuery } = adminApi;

若使用自定义fetch逻辑，同样要确保请求中包含credentials: 'include'。

3. 验证服务端中间件顺序 #

确保Program.cs中的中间件顺序正确，正确顺序应为：

app.UseHttpsRedirection();
app.UseCors("AllowReactApp"); // CORS必须在认证、授权之前
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

若CORS中间件在认证之后，服务端会先执行认证校验，此时CORS头尚未返回，会导致浏览器拒绝响应。

4. 检查launchSettings.json的认证配置 #

确认launchSettings.json中的配置正确，示例：

"iisSettings": {
  "windowsAuthentication": true,
  "anonymousAuthentication": false,
  "iisExpress": {
    "applicationUrl": "http://localhost:5054",
    "sslPort": 7054
  }
},
"profiles": {
  "YourAppName": {
    "commandName": "Project",
    "dotnetRunMessages": true,
    "launchBrowser": true,
    "applicationUrl": "https://localhost:7054;http://localhost:5054",
    "environmentVariables": {
      "ASPNETCORE_ENVIRONMENT": "Development"
    },
    "windowsAuthentication": true,
    "anonymousAuthentication": false
  }
}

需确保项目自身profile和IIS Express的profile都开启Windows认证、关闭匿名认证。

5. 浏览器侧验证与调试 #

• 在Chrome开发者工具Network面板中，查看请求的Request Headers是否包含Authorization: Negotiate ...，若没有，说明浏览器未携带凭证，需重新检查前端credentials配置。
• 清除Chrome缓存：旧的CORS响应缓存可能导致异常，清除后重新测试。

额外验证步骤 #

用Postman测试：开启"Authorization"选项，选择"NTLM"并输入当前Windows账号密码，调用接口。若请求成功，说明服务端配置无问题，问题集中在前端跨域凭证携带逻辑。

内容的提问来源于stack exchange，提问作者z216ero