为React + ASP.NET应用添加Windows身份验证的问题求助

针对你遇到的React调用后端API未授权的问题，结合Windows身份验证的特性，整理几个关键排查和修复步骤：

一、后端（ASP.NET Core）配置重点 #

• CORS配置必须明确，禁用通配符
  带身份凭据的请求不支持AllowAnyOrigin()，必须指定React应用的具体域名，同时开启AllowCredentials()：

  builder.Services.AddCors(options =>
  {
      options.AddPolicy("ReactCors", policy =>
      {
          policy.WithOrigins("http://localhost:3000") // 替换成你的React应用地址
                .AllowAnyHeader()
                .AllowAnyMethod()
                .AllowCredentials(); // 核心：允许传递身份凭据
      });
  });
  
  // 注意中间件顺序：在UseRouting之后，UseAuthorization之前启用CORS
  app.UseCors("ReactCors");
  

• 确认Windows身份验证服务配置正确
  确保program.cs里添加了身份验证和授权中间件，且顺序正确：

  // 注册Windows身份验证服务
  builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
      .AddNegotiate();
  
  builder.Services.AddAuthorization(options =>
  {
      // 全局启用授权，未认证请求直接拦截
      options.FallbackPolicy = options.DefaultPolicy;
  });
  
  // 中间件顺序不能错：先认证，再授权
  app.UseAuthentication();
  app.UseAuthorization();
  

• IIS配置补全
  除了启用Windows身份验证，必须禁用匿名身份验证，否则IIS会优先允许匿名访问，导致身份信息无法传递。在launchSettings.json中：

  "iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false,
    "iisExpress": {
      "applicationUrl": "http://localhost:5000",
      "sslPort": 44355
    }
  }
  

二、前端（React）请求配置修正 #

• Fetch请求必须正确携带凭据
  确保credentials设置为'include'，且不能使用mode: 'no-cors'（该模式会屏蔽身份信息）：

  fetch('http://localhost:5000/api/your-endpoint', {
    method: 'GET',
    credentials: 'include', // 关键：携带身份凭据
    headers: {
      'Content-Type': 'application/json'
      // 无需手动添加Authorization头，Windows身份验证会自动处理
    }
  })
  .then(res => {
    if (!res.ok) throw new Error('请求未授权');
    return res.json();
  })
  .catch(err => console.error(err));
  

• 开发环境代理配置（可选）
  如果用React的代理转发请求，确保代理传递凭据。可以在项目根目录创建setupProxy.js：

  const { createProxyMiddleware } = require('http-proxy-middleware');
  
  module.exports = function(app) {
    app.use(
      '/api',
      createProxyMiddleware({
        target: 'http://localhost:5000',
        changeOrigin: true,
        credentials: true, // 确保代理传递身份凭据
      })
    );
  };
  

三、快速排查手段 #

• 打开浏览器控制台的网络面板，查看请求头是否包含Authorization: Negotiate ...字段，没有的话说明凭据未传递，检查前端credentials配置和后端CORS的AllowCredentials。
• 直接在浏览器访问后端API地址，如果能正常返回数据，说明后端身份验证没问题，问题出在前端请求或CORS配置。
• 确认后端API控制器/方法添加了[Authorize]特性，未添加的话不会触发身份验证拦截。

内容的提问来源于stack exchange，提问作者SendHelp