ASP.NET Core IIS Windows身份验证跨域访问弹窗问题求助

核心原因 #

IIS的Windows身份验证是在ASP.NET Core请求管道之前触发的，Domain B用户访问时，IIS会先强制发起NTLM/Kerberos验证请求（弹出弹窗），不会先进入你的应用逻辑执行重定向。

解决方案 #

1. 配置IIS启用匿名身份验证+Windows身份验证双模式 #

不要仅启用Windows身份验证，需同时开启匿名身份验证。这样IIS不会直接强制弹窗，请求会先进入ASP.NET Core管道，让自定义逻辑优先执行。

2. 在ASP.NET Core中动态控制身份验证逻辑 #

通过中间件或授权策略判断用户来源，分情况处理：

• Domain A用户：触发Windows身份验证
• Domain B用户：引导至表单登录页面

示例中间件代码

app.Use(async (context, next) =>
{
    // 根据IP范围、请求头等标识判断是否为Domain B用户
    bool isDomainBUser = CheckIfUserIsFromDomainB(context);

    if (isDomainBUser)
    {
        context.Response.Redirect("/Account/Login");
        return;
    }

    // 内部域用户未认证时，触发Windows身份验证
    if (!context.User.Identity.IsAuthenticated)
    {
        await context.ChallengeAsync(WindowsDefaults.AuthenticationScheme);
        return;
    }

    await next();
});

3. 调整IIS站点身份验证设置 #

• 打开IIS管理器，找到目标站点进入身份验证选项
• 启用匿名身份验证（设置匿名用户为IUSR或对应权限账户）
• 保持Windows身份验证处于启用状态

4. 处理Windows验证失败的回退逻辑 #

若Domain A用户Windows验证失败（如密码错误），可在应用内捕获该情况，引导至错误页或重新验证流程。

关键注意事项 #

• 匿名身份验证的开启是解决弹窗问题的核心，它让请求能先进入ASP.NET Core管道
• 需准确识别Domain B用户的来源，避免误判导致内部用户无法正常使用Windows验证
• 确保表单登录逻辑独立于Windows身份验证，避免两种认证机制冲突

内容的提问来源于stack exchange，提问作者bristivojevic