.NET Framework 4.6.2迁移至.NET Core 6后NTLM认证下用户名获取为空

针对你从.NET Framework 4.6.2迁移到.NET 6后，HttpContext.User.Identity?.Name返回Null的问题，可按以下步骤排查解决：

1. 确认中间件注册顺序 #

.NET 6对中间件顺序要求严格，必须确保认证中间件在授权中间件之前注册，正确的顺序如下：

var builder = WebApplication.CreateBuilder(args);

// 注册服务（你的现有配置放在这里）
builder.Services.AddHttpContextAccessor();
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();
builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = options.DefaultPolicy;
});

var app = builder.Build();

// 中间件顺序：先路由，再认证，再授权，最后端点
app.UseRouting();

// 必须放在UseAuthorization之前
app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

app.Run();

如果UseAuthentication()放在UseAuthorization()之后，认证流程不会触发，User.Identity会保持未认证状态。

2. 正确获取HttpContext #

如果在服务类中获取用户信息，必须通过构造函数注入IHttpContextAccessor，且仅在请求处理阶段访问HttpContext（不能在构造函数中直接访问）：

public class UserService
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public UserService(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public string GetCurrentUserName()
    {
        // 仅在请求处理方法中访问HttpContext
        return _httpContextAccessor.HttpContext?.User.Identity?.Name;
    }
}

3. 验证Windows认证配置生效 #

针对IIS Express #

• 右键项目→属性→调试→勾选启用Windows认证，取消启用匿名认证，确保和launchsettings.json配置一致。
• 重启IIS Express，避免旧配置残留。

针对本地IIS部署 #

• 打开IIS管理器，找到目标站点→认证功能→启用Windows认证，禁用匿名认证。
• 检查应用程序池身份：若使用域账户，需确保账户有足够权限完成Kerberos/NTLM协商；使用ApplicationPoolIdentity时，需确保站点的SPN（服务主体名称）配置正确（若使用Kerberos）。

4. 确认Negotiate认证包已安装 #

.NET 6默认不包含Negotiate认证组件，需手动安装NuGet包：

Install-Package Microsoft.AspNetCore.Authentication.Negotiate

或通过.NET CLI：

dotnet add package Microsoft.AspNetCore.Authentication.Negotiate

5. 调试认证流程 #

添加调试代码，确认认证是否触发：

[ApiController]
[Route("api/test")]
public class TestController : ControllerBase
{
    [HttpGet]
    public IActionResult CheckAuth()
    {
        var isAuthenticated = User.Identity.IsAuthenticated;
        var userName = User.Identity?.Name;
        var identityType = User.Identity?.GetType().Name;
        
        return Ok(new 
        { 
            IsAuthenticated = isAuthenticated, 
            UserName = userName, 
            IdentityType = identityType 
        });
    }
}

访问该接口：

• 若IsAuthenticated为false：回到中间件顺序、认证配置检查；
• 若IsAuthenticated为true但UserName为空：检查WindowsIdentity的属性，可在Negotiate事件中调试：

  services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
      .AddNegotiate(options =>
      {
          options.Events = new NegotiateEvents
          {
              OnAuthenticated = context =>
              {
                  // 此处打调试断点，查看context.Principal的详细信息
                  var windowsIdentity = context.Principal.Identity as WindowsIdentity;
                  Console.WriteLine($"WindowsIdentity Name: {windowsIdentity?.Name}");
                  return Task.CompletedTask;
              }
          };
      });
  

6. 检查应用程序池设置（IIS部署） #

• 若站点使用Kerberos认证，需为应用程序池账户注册SPN，避免NTLM回退导致的身份信息丢失；
• 确保应用程序池的"加载用户配置文件"设置为True，否则可能无法读取用户身份信息。

内容的提问来源于stack exchange，提问作者leafar29