ASP.NET MVC+KnockoutJS站点Windows认证反复弹出登录框问题求助

我正在通过Windows认证访问一个ASP.NET MVC 4站点，前端使用Knockout.js和jQuery。遇到的问题是：访问时会弹出登录框，取消登录后重新加载页面有时能正常访问，但部分页面始终无法正常访问，且需要重复此操作。已尝试修改Web.config的security配置、配置回环地址，甚至完全移除security节点，但问题仍未解决。当前Web.config相关配置如下：

<system.webServer>
    <security>
      <authorization>
        <remove users="*" roles="" verbs="" />
        <add accessType="Allow" users="" roles="*" />
      </authorization>
    </security>
    <handlers>
      <remove name="ExtensionlessUrlHandler-Integrated-4.0" />
      <remove name="OPTIONSVerbHandler" />
      <remove name="TRACEVerbHandler" />
      <add name="ExtensionlessUrlHandler-Integrated-4.0" path="*." verb="*" type="System.Web.Handlers.TransferRequestHandler" preCondition="integratedMode,runtimeVersionv4.0" />
    </handlers>
  </system.webServer>

 <system.web>
    <compilation debug="true" targetFramework="4.7.1" />
    <httpRuntime targetFramework="4.5" />
   <pages>
   <namespaces>
    <add namespace="System.Web.Helpers" />
    <add namespace="System.Web.Mvc" />
    <add namespace="System.Web.Mvc.Ajax" />
    <add namespace="System.Web.Mvc.Html" />
    <add namespace="System.Web.Optimization" />
    <add namespace="System.Web.Routing" />
    <add namespace="System.Web.WebPages" />
      </namespaces>
     </pages>
    <machineKey decryptionKey="removed" validationKey="removed" />
    <identity impersonate="false" />
  </system.web>

排查与解决步骤 #

1. 统一Windows认证与匿名访问配置 #

在IIS中确认站点的Windows认证已启用：

• 如果站点要求强制Windows认证，需禁用匿名访问；
• 如果部分页面允许匿名访问，在对应控制器/Action上添加[AllowAnonymous]特性，避免通过Web.config批量配置导致权限逻辑冲突。

2. 修正Web.config的权限配置逻辑 #

当前system.webServer/security/authorization配置存在逻辑漏洞：移除所有用户权限后仅允许所有角色，未明确用户范围。根据需求调整配置：

• 允许所有用户（含匿名）访问：

<system.webServer>
  <security>
    <authorization>
      <add accessType="Allow" users="*" />
    </authorization>
  </security>
</system.webServer>

• 仅允许已认证Windows用户访问：

<system.web>
  <authorization>
    <deny users="?" /> <!-- 拒绝匿名用户 -->
    <allow users="*" /> <!-- 允许所有已认证用户 -->
  </authorization>
</system.web>

注意：system.web下的authorization是ASP.NET级别的配置，system.webServer下的是IIS级别的配置，优先确保两者逻辑一致。

3. 修复前端AJAX请求的认证凭据携带问题 #

前端Knockout/jQuery发起AJAX请求时，需明确携带Windows认证凭据，否则请求会被视为匿名访问触发登录框。在AJAX请求中添加配置：

$.ajax({
  url: '/YourController/YourAction',
  type: 'GET',
  xhrFields: {
    withCredentials: true // 携带当前用户的Windows认证凭据
  },
  success: function(response) {
    // 业务逻辑处理
  }
});

这是导致“页面刷新能访问，但AJAX请求触发登录框”的常见原因，页面刷新时浏览器会自动发送凭据，而AJAX请求默认不携带。

4. 配置本地Intranet区域与回环检查 #

• 将站点URL添加到浏览器的本地Intranet区域，该区域下浏览器会自动发送Windows凭据，无需手动输入；
• 若为本地访问，确保回环检查已禁用：
  1. 打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa；
  2. 添加DWORD类型的DisableLoopbackCheck，设置值为1；
  3. 重启IIS服务生效。

5. 验证应用程序池身份权限 #

检查站点应用程序池的身份配置：

• 优先使用Network Service或域账户；
• 确保该账户拥有站点根目录的读写权限，以及访问后端依赖资源（如数据库）的权限；
• 若使用自定义账户，需将其加入本地IIS_IUSRS组。

内容的提问来源于stack exchange，提问作者Paul Daniels