Asp.net MVC站点开启IIS匿名认证仍出现401.0未授权错误求助

• 部署在远程IIS的Asp.net MVC站点，已开启匿名认证并禁用其他认证方式，仍出现401.0未授权错误
• 需求：站点可通过IIS正常访问，并启动AAD授权码流
• 本地Visual Studio的IIS Express环境下，相同代码运行完全正常

1. 检查应用程序池身份权限 #

• 确保应用程序池使用的身份（如ApplicationPoolIdentity或自定义账户）对站点根目录及所有子目录拥有读取和执行权限
• 若用ApplicationPoolIdentity，需在文件系统中给IIS AppPool\[你的应用池名称]用户分配对应权限

2. 修正Web.config认证配置 #

• 确认Web.config中<authentication>节点设置正确，避免残留其他认证配置干扰：

  <system.web>
    <authentication mode="None" />
    <!-- 其他业务配置 -->
  </system.web>
  

• 核对AAD的OIDC配置，确保回调地址指向远程站点域名，不要保留本地IIS Express的localhost地址

3. 调整IIS授权规则 #

• 进入IIS站点的授权规则页面，添加允许匿名用户访问的全局规则，删除所有拒绝匿名的规则
• 若有特定目录需要授权验证，单独为该目录配置规则，不要影响站点全局的匿名访问权限

4. 排查Katana中间件冲突 #

• 若使用Katana中间件，确保注册顺序正确：先注册匿名认证相关中间件，再注册AAD的OIDC中间件
• 检查中间件逻辑，避免存在强制要求所有路由都认证的代码，仅在需要授权的路由上启用AAD验证

5. 分析日志定位根源 #

• 查看IIS详细错误日志（默认路径C:\inetpub\logs\LogFiles），通过401.0错误的子状态码确定具体原因（如权限不足、模块拦截等）
• 查看Windows事件查看器的应用程序日志，获取更详细的错误堆栈信息

内容的提问来源于stack exchange，提问作者sivakumar