在Windows身份验证的Blazor Server应用中始终显示登录提示

目前已经有成熟方案实现该需求，核心是调整Windows身份验证的Negotiate认证行为，避免系统自动复用当前用户凭据。以下是具体实现步骤：

1. 调整身份验证服务配置 #

在Program.cs中配置Windows身份验证时，禁用自动认证开关，确保不会自动使用进程或当前用户的凭据完成登录：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate(options =>
    {
        // 禁用自动认证，避免自动复用凭据
        options.AutomaticAuthentication = false;
    });

builder.Services.AddAuthorization(options =>
{
    // 设置默认授权策略，要求所有请求必须认证
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

2. 手动触发认证挑战 #

在中间件管道中添加逻辑，对未认证的请求手动发起认证挑战，强制浏览器弹出Windows登录对话框：

app.UseRouting();

app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapBlazorHub();
    endpoints.MapFallbackToPage("/_Host");

    // 对所有未认证请求触发登录挑战
    endpoints.Map("{**slug}", async context =>
    {
        if (!context.User.Identity.IsAuthenticated)
        {
            await context.ChallengeAsync(NegotiateDefaults.AuthenticationScheme);
            return;
        }
        await context.Next();
    }).AllowAnonymous();
});

3. Windows服务托管的额外配置 #

• 运行服务的账户避免使用本地系统账户，推荐使用普通域账户或本地服务账户，防止自动继承主机的高权限凭据。
• 禁用服务属性中的"允许服务与桌面交互"选项，避免服务进程关联当前登录用户的会话凭据。

原理补充 #

早期认为该需求不可行，是因为ASP.NET Core默认启用AutomaticAuthentication，系统会自动尝试用当前进程或用户的凭据完成认证。现在通过显式禁用该选项，并手动触发ChallengeAsync，可以强制浏览器发起NTLM/Kerberos身份验证请求，从而弹出Windows登录框。

验证建议 #

• 测试前清除浏览器的身份验证缓存（如Chrome中清除"密码和其他登录数据"），避免缓存的旧凭据影响测试结果。
• 域环境中可临时切换到NTLM模式测试，排除Kerberos自动认证的干扰。

内容的提问来源于stack exchange，提问作者Justyna