React.js客户端与.NET6后端Windows身份认证401错误求助

.NET Core API 端配置 #

• 启用Windows身份认证服务：在Program.cs中添加以下代码：

  builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
                  .AddNegotiate();
  
  // 确保认证逻辑在授权前执行
  app.UseAuthentication();
  app.UseAuthorization();
  

• 配置CORS允许凭据：Windows认证需要携带身份信息，CORS必须开启凭据支持：

  builder.Services.AddCors(options =>
  {
      options.AddPolicy("AllowReactApp",
          policy =>
          {
              policy.WithOrigins("http://localhost:3000") // 替换为你的React前端地址
                    .AllowAnyHeader()
                    .AllowAnyMethod()
                    .AllowCredentials(); // 关键配置：允许传递身份凭据
          });
  });
  
  // 在管道中启用CORS策略
  app.UseCors("AllowReactApp");
  

• 调整启动配置：在launchSettings.json中开启Windows认证，按需关闭匿名认证：

  "iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": false,
    // 其他配置项...
  }
  

React 端配置 #

• API请求强制携带凭据：使用axios或fetch发起请求时，必须显式开启凭据传递：
  • Axios示例：

    import axios from 'axios';
    
    axios.get('/api/your-target-endpoint', {
      withCredentials: true
    })
    .then(res => console.log(res.data))
    .catch(err => console.error(err));
    

  • Fetch示例：

    fetch('/api/your-target-endpoint', {
      credentials: 'include'
    })
    .then(res => res.json())
    .then(data => console.log(data))
    .catch(err => console.error(err));
    

• 开发环境代理配置：在package.json中添加代理，避免跨域同时保留身份信息：

  "proxy": "https://localhost:5001" // 替换为你的API服务地址
  

常见排查点 #

• 确认[Authorize]特性正确应用：若指定角色/组，需确保当前Windows账号属于对应权限组：

  [Authorize(Roles = "DOMAIN\\Your-Permission-Group")]
  public class TargetController : ControllerBase
  {
      // 接口逻辑...
  }
  

• 检查服务器部署配置：用IIS部署时，需在站点身份认证设置中开启Windows认证、关闭匿名认证；用Kestrel部署时，确保Program.cs中已正确启用Windows认证服务。
• 验证浏览器权限：确认浏览器允许站点发送身份凭据，跨域场景下需通过请求配置强制开启。
• 查看API日志：启用.NET Core日志记录，定位401错误的具体原因，判断是身份未传递还是权限不足。

内容的提问来源于stack exchange，提问作者Sunny B