WebForms部署至Windows Server后调用HTTPS Web API报401未授权

按优先级整理核心排查和解决方向：

1. 优先处理「凭据双跳」问题 #

这是最常见的触发原因：本地运行时，桌面用户凭据可以直接传递给API；但发布到服务器后，WebForms在IIS应用池下运行，用UseDefaultCredentials=true跨服务器调用API时，会碰到Kerberos的双跳限制——默认情况下，IIS应用池的身份无法将凭据传递到另一台服务器的API服务。

对应的解决方式：

• 如果API和WebForms在同一台服务器：检查应用池身份设置，改成「本地系统」或具备本地管理员权限的账户，同时确保API的IIS站点允许该账户访问。
• 如果是跨服务器调用：
  • 配置Kerberos约束委派：请域管理员给WebForms应用池的域账户，委派访问API服务器HTTP服务的权限。
  • 改用非Windows身份验证：比如给API添加API密钥或JWT令牌，替换UseDefaultCredentials=true，直接在请求头里传递验证信息：

    client.Headers.Add("Authorization", "Bearer 你的令牌内容");
    

    或者使用显式账号密码：

    client.Credentials = new NetworkCredential("API用户名", "密码", "域名");
    

2. 验证证书信任问题 #

虽然你添加了证书验证回调，但服务器端可能未正确信任API的证书：

• 如果API用的是自签名证书：将证书导入到服务器的「本地计算机 → 受信任的根证书颁发机构」（注意不是当前用户的证书存储），这样系统会默认信任该证书，无需依赖回调。
• 检查ValidateRemoteCertificate方法的实现，临时测试可以直接返回true（生产环境不要这么做，需严格验证证书合法性）：

  private static bool ValidateRemoteCertificate(object sender, X509Certificate cert, X509Chain chain, SslPolicyErrors errors)
  {
      // 临时跳过验证，排查是否是证书导致的问题
      return true;
  }
  

3. 检查API服务器的身份验证配置 #

• 确认API的HTTPS站点开启了Windows身份验证，且禁用了匿名身份验证。
• 检查API的IIS授权规则，确保WebForms应用池的账户（或你指定的验证账户）有访问权限。
• 查看API的日志，确认401错误是因为凭据未传递成功，还是凭据本身无访问权限。

4. 其他排查点 #

• 服务器TLS版本验证：虽然代码指定了Tls12，但要确保Windows Server已启用TLS1.2（可通过服务器管理器或注册表配置）。
• 代理问题：如果服务器通过代理访问API，需给WebClient配置代理凭据，或在系统代理设置里配置绕过本地地址的规则。

内容的提问来源于stack exchange，提问作者Jeferson