Blazor Server（.NET 6）Windows身份认证无法自动登录问题咨询

核心原因 #

1. 浏览器区域限制：浏览器仅对标记为「本地Intranet」的站点自动提交Windows域凭据，默认localhost不在该区域内，导致浏览器不会自动发送当前登录的AD账户信息，反复弹出凭据框。
2. 开发服务器认证配置缺失：VS默认的IIS Express可能未正确启用Windows认证的自动协商机制，或者站点的身份验证策略未设置为自动使用当前用户凭据。
3. Kerberos/NTLM认证机制限制：若开发机器未加入域，或未配置服务主体名称（SPN），Kerberos自动认证失效，NTLM也因站点不在可信区域无法自动提交凭据。

解决办法 #

1. 将localhost添加到浏览器本地Intranet区域 #

• Chrome/Edge操作：
  1. 打开浏览器设置 → 隐私和安全 → 安全 → 本地Intranet → 站点 → 高级
  2. 添加http://localhost和https://localhost，勾选「包括所有不使用代理服务器的本地(Intranet)站点」
  3. 重启浏览器后，浏览器会自动对该区域站点提交当前Windows域凭据
• IE操作：
  1. 工具 → Internet选项 → 安全 → 本地Intranet → 站点 → 高级
  2. 添加http://localhost和https://localhost，确认后重启浏览器

2. 配置IIS Express的Windows认证设置 #

• 找到项目根目录下的.vs\config\applicationhost.config文件（需显示隐藏文件夹）
• 找到对应站点的<authentication>节点，确保配置如下：

  <authentication>
    <anonymousAuthentication enabled="false" />
    <windowsAuthentication enabled="true">
      <providers>
        <add value="Negotiate" />
        <add value="NTLM" />
      </providers>
    </windowsAuthentication>
  </authentication>
  

• 保存文件后重启VS和IIS Express，确保禁用匿名认证，启用Windows认证并同时支持Negotiate（Kerberos）和NTLM

3. 域环境下配置Kerberos自动认证（可选） #

如果开发机器已加入AD域，为实现无凭据输入的自动认证，需配置SPN：

• 以域管理员身份在域控制器上运行命令（替换DOMAIN为你的域名，DEV-MACHINE为开发机器名）：

  setspn -A HTTP/DEV-MACHINE DOMAIN\DEV-MACHINE$
  setspn -A HTTP/DEV-MACHINE.DOMAIN.COM DOMAIN\DEV-MACHINE$
  

• 配置完成后，浏览器会通过Kerberos自动验证当前域用户身份，无需手动输入凭据

4. 验证Blazor页面的身份获取逻辑 #

确保Blazor页面中正确获取Windows用户信息，例如在_Host.cshtml或组件中添加：

@using System.Security.Claims
<p>当前登录用户：@User.Identity?.Name</p>

运行后若能直接显示域账户名，说明自动认证生效

内容的提问来源于stack exchange，提问作者Psybermage