.NET6 MVC网站HttpContext.User交替返回ClaimsPrincipal与WindowsPrincipal问题

这个问题的核心是认证方案配置不完整，且未将Windows认证的身份持久化到Cookie中，导致请求有时使用Cookie认证（无有效身份），有时触发Windows认证（获取到有效身份），从而出现HttpContext.User结果不一致的情况。

1. 修正认证服务配置 #

首先需要在认证服务中添加HttpSys认证方案，并确保Cookie认证的配置正确（如果未使用ASP.NET Core Identity的用户系统，建议直接使用AddCookie而非AddIdentityCookies）：

public void ConfigureAuth(IServiceCollection services)
{
    services.Configure<CookiePolicyOptions>(options =>
    {
        options.CheckConsentNeeded = context => false;
        options.MinimumSameSitePolicy = SameSiteMode.None;
    });

    services.AddAuthentication(o =>
    {
        o.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        o.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        o.DefaultChallengeScheme = HttpSysDefaults.AuthenticationScheme;
    })
    // 添加HttpSys Windows认证支持，使用Negotiate协议兼容AD
    .AddHttpSys(options =>
    {
        options.AuthenticationSchemes = AuthenticationSchemes.Negotiate;
    })
    // 配置Cookie认证（替代AddIdentityCookies，避免Identity无关配置干扰）
    .AddCookie(options =>
    {
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
        options.Cookie.HttpOnly = true;
        options.ExpireTimeSpan = TimeSpan.FromHours(8);
    });

    PolicyConfig.ConfigurePolicies(services);
}

2. 修改登录逻辑，持久化Windows身份到Cookie #

原登录方法仅触发认证但未将Windows身份写入Cookie，需修改为获取Windows身份后，创建Cookie认证的ClaimsPrincipal并完成登录：

// 指定使用HttpSys认证方案触发Windows凭据弹窗
[Authorize(AuthenticationSchemes = HttpSysDefaults.AuthenticationScheme)]
public async Task<IActionResult> Login()
{
    // 从Windows认证结果中提取用户信息，构建Cookie认证的身份
    var claims = new List<Claim>
    {
        new Claim(ClaimTypes.Name, User.Identity.Name),
        // 可根据需求添加AD中的其他属性作为Claim，如部门、邮箱等
        // new Claim(ClaimTypes.Email, userEmailFromAD)
    };

    var cookieIdentity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
    var cookiePrincipal = new ClaimsPrincipal(cookieIdentity);

    // 将身份持久化到Cookie
    await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, cookiePrincipal);

    return RedirectToAction("Index", "Home");
}

3. 确保Dashboard接口使用统一的Cookie认证 #

修改Dashboard的[Authorize]特性（若未指定，默认使用DefaultAuthenticateScheme即Cookie认证）：

[HttpGet]
[ResponseCache(Duration = 0, Location = ResponseCacheLocation.None, NoStore = true)]
[Authorize] // 默认使用Cookie认证，保证每次请求都获取到一致的身份
public IActionResult Dashboard()
{
    var userName = User.Identity.Name; // 此时将稳定获取到AD用户名
    // 后续业务逻辑
    return View();
}

问题根源解释 #

• 原配置中仅指定了DefaultChallengeScheme为HttpSys，但未注册HttpSys认证方案，且未将Windows认证的结果写入Cookie。
• 当请求携带空Cookie时，DefaultAuthenticateScheme（Cookie）会返回无身份的ClaimsPrincipal；当Cookie不存在/无效时，会触发DefaultChallengeScheme（HttpSys）获取Windows身份，从而导致结果随机切换。
• 修正后，登录时将Windows身份转换为Cookie身份持久化，后续所有请求都通过Cookie认证获取稳定的用户信息，解决了不一致问题。

内容的提问来源于stack exchange，提问作者spiral