Blazor WebAssembly项目能否用Windows直通身份验证？配置遇401错误求助

1. 验证核心配置正确性 #

Program.cs 授权配置 #

确保Windows身份验证与授权中间件顺序正确：

var builder = WebAssemblyHostBuilder.CreateDefault(args);
builder.RootComponents.Add<App>("#app");
builder.RootComponents.Add<HeadOutlet>("head::after");

// 注册Windows身份验证及授权核心服务
builder.Services.AddAuthorizationCore();
builder.Services.AddHttpClient("YourApp.ServerAPI", client => client.BaseAddress = new Uri(builder.HostEnvironment.BaseAddress))
    .AddHttpMessageHandler<BaseAddressAuthorizationMessageHandler>();

builder.Services.AddScoped(sp => sp.GetRequiredService<IHttpClientFactory>().CreateClient("YourApp.ServerAPI"));
builder.Services.AddScoped<BaseAddressAuthorizationMessageHandler>();

await builder.Build().RunAsync();

launchSettings.json 配置 #

确认iisSettings及IIS Express profile配置无误：

{
  "iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false,
    "iisExpress": {
      "applicationUrl": "http://localhost:5000",
      "sslPort": 44300
    }
  },
  "profiles": {
    "IIS Express": {
      "commandName": "IISExpress",
      "launchBrowser": true,
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      },
      "dotnetRunMessages": true
    }
  }
}

web.config 补充配置 #

• 独立Blazor WASM项目：在站点根目录添加web.config，配置身份验证规则与静态文件MIME类型：

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <security>
      <authentication>
        <anonymousAuthentication enabled="false" />
        <windowsAuthentication enabled="true" />
      </authentication>
      <authorization>
        <remove users="*" roles="" verbs="" />
        <add accessType="Allow" users="*" />
        <add accessType="Deny" users="?" />
      </authorization>
    </security>
    <staticContent>
      <mimeMap fileExtension=".wasm" mimeType="application/wasm" />
      <mimeMap fileExtension=".blat" mimeType="application/octet-stream" />
      <mimeMap fileExtension=".dat" mimeType="application/octet-stream" />
    </staticContent>
  </system.webServer>
</configuration>

• 托管Blazor WASM项目：在服务器端web.config中启用令牌转发：

<aspNetCore processPath="dotnet" arguments=".\YourApp.Server.dll" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" hostingModel="inprocess">
  <environmentVariables>
    <environmentVariable name="ASPNETCORE_FORWARD_WINDOWS_AUTH_TOKEN" value="true" />
  </environmentVariables>
</aspNetCore>

2. 解决IIS-Express权限问题（错误码0x80070005核心诱因） #

• 以管理员身份运行Visual Studio：避免权限不足导致身份验证令牌无法正常传递。
• 检查IIS Express应用池配置：打开%USERPROFILE%\Documents\IISExpress\config\applicationhost.config，确认站点对应应用池的身份为当前用户：

<applicationPools>
  <add name="Clr4IntegratedAppPool" managedRuntimeVersion="v4.0" managedPipelineMode="Integrated" identityType="CurrentUser" />
</applicationPools>

• 验证站点文件权限：确保当前用户对项目输出目录（如bin\Debug\net7.0\wwwroot）拥有读取与执行权限。

3. Kerberos直通验证适配配置 #

• 禁用Kernel-mode身份验证（按需）：若Kerberos与Kernel-mode验证冲突，在web.config中添加配置：

<windowsAuthentication enabled="true">
  <providers>
    <add value="Negotiate" />
    <add value="NTLM" />
  </providers>
  <useKernelMode>false</useKernelMode>
</windowsAuthentication>

• SPN对比检查：参考旧WebForms应用的SPN注册配置，确保部署阶段Blazor站点URL对应的SPN已正确注册（本地测试通常无需此操作）。

4. 浏览器端配置排查 #

• Chrome：在地址栏输入chrome://flags/#allow-silent-authentication，启用“允许静默身份验证”。
• IE/Edge：将本地站点（如http://localhost:5000）添加到“本地Intranet”区域，并开启“自动登录到Intranet区域”选项。
• 禁用隐私模式：隐私模式会阻止Windows身份验证令牌传递，使用正常窗口测试。

5. 事件日志定位具体原因 #

打开事件查看器 → Windows日志 → 安全，查找事件ID为4625的失败登录事件，查看“失败原因”字段获取更精确的身份验证失败细节（如令牌无效、权限不足等）。

内容的提问来源于stack exchange，提问作者Possible Triangle