IIS中Windows身份验证作用及内部PHP应用能否禁用匿名验证的问询

1. Windows身份验证的工作机制与验证内容 #

Windows身份验证（域环境下通常用Kerberos或NTLM协议）是基于域信任体系的服务器端身份验证方式：

• 当客户端（员工的Windows电脑）和IIS服务器同属一个域时，IIS收到请求后会要求客户端提供Windows身份凭证
• 客户端系统会自动调用当前登录的域用户的验证信息（Kerberos票据或NTLM哈希），发送给服务器
• 服务器和域控制器交互，验证该凭证的合法性，确认后就能获取到用户的域账号

它验证的是当前登录客户端Windows系统的域用户身份，是操作系统层面的身份校验，和应用自身的账号体系无关。

2. 无需输入密码就能获取Windows用户名的原因 #

因为员工的电脑已经登录到域环境，Windows系统会缓存域用户的验证凭证。当访问启用Windows身份验证的内部服务器时，系统会自动将这些凭证发送给服务器完成验证，这就是域环境下的单点登录（SSO）特性——用户已经在本地完成了域身份验证，无需重复输入密码。

3. 当前是否存在“两层”验证？ #

是的，你的场景确实存在两层独立的验证：

• 服务器级（IIS层面）：Windows身份验证，这一步由IIS和域控完成，目的是确认发起请求的是域内合法员工，$_SERVER['AUTH_USER']就是这个环节的结果
• 应用级（PHP层面）：登录表单验证，这是应用自身的逻辑，用来校验用户输入的账号密码是否符合应用内部的权限规则（可以和域账号一致，也可以是应用独立的账号体系）

两层验证互不干扰：Windows身份验证是IIS的准入校验，通过后才会将请求转发给PHP应用，之后应用再执行自身的登录流程。

4. 能否安全地保持匿名身份验证禁用状态？ #

完全可以，甚至对内部域环境的应用来说更安全：

• 禁用匿名后，所有请求必须先通过Windows身份验证，能直接拦截外部未授权的访问，确保只有域内员工才能触达应用
• 应用的表单登录流程不受影响，Windows身份验证只是服务器层面的准入校验，不干涉应用自身的权限控制逻辑
• 这种配置既能满足你记录失败登录对应的域用户的需求，又能通过表单验证把控应用内的权限，是合理的安全配置

补充：同时开启两种验证时$_SERVER['AUTH_USER']为空的原因 #

IIS默认优先使用匿名身份验证，当两种验证同时开启时，客户端会默认以匿名身份发起请求，不会触发Windows身份验证流程，因此无法获取到AUTH_USER值。只有禁用匿名后，IIS才会强制要求客户端进行Windows身份验证。

内容的提问来源于stack exchange，提问作者pileup