ASP.NET Core 6 Blazor在IIS/Kestrel下配置Windows认证失败自定义401页

问题根源 #

你的<NotAuthorized>模板未生效，核心原因是Windows认证属于HTTP级别的自动挑战机制：当用户未授权时，服务器（IIS/Kestrel）会直接返回401响应并触发浏览器的登录弹窗，这个过程发生在Blazor应用初始化之前，导致Blazor的组件渲染逻辑根本没机会执行。

解决步骤 #

1. 启用匿名认证（必须） #

只有让请求能到达Blazor应用，而非被HTTP认证直接拦截，Blazor的授权模板才能生效。

• Kestrel配置：在Program.cs中同时启用Windows认证和匿名认证：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

// 添加匿名认证支持
builder.Services.AddAuthentication().AddAnonymous();

builder.Services.AddAuthorization(options =>
{
    // 设置全局默认授权策略：需认证用户
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

// 中间件顺序不能错
app.UseAuthentication();
app.UseAuthorization();

• IIS配置：在站点的「认证」设置中，同时启用匿名认证和Windows认证。

2. 修改App.razor，确保触发 #

现在请求能正常到达Blazor，当用户未认证时，<AuthorizeRouteView>会触发自定义未授权内容。可以添加主动登录按钮，替代浏览器自动弹窗：

<CascadingAuthenticationState>
    <Router AppAssembly="@typeof(App).Assembly">
        <Found Context="routeData">
            <AuthorizeRouteView RouteData="@routeData" DefaultLayout="@typeof(MainLayout)">
                <NotAuthorized>
                    <div style="padding:2rem; text-align:center;">
                        <h3>未授权访问</h3>
                        <p>你需要登录后才能访问此页面</p>
                        <button onclick="location.href='/login?returnUrl=' + window.location.pathname">
                            使用Windows账号登录
                        </button>
                    </div>
                </NotAuthorized>
                <Authorizing>
                    <div style="padding:2rem; text-align:center;">正在验证身份...</div>
                </Authorizing>
            </AuthorizeRouteView>
        </Found>
        <NotFound>
            <PageTitle>Not found</PageTitle>
            <LayoutView Layout="@typeof(MainLayout)">
                <p role="alert">Sorry, there's nothing at this address.</p>
            </LayoutView>
        </NotFound>
    </Router>
</CascadingAuthenticationState>

3. 添加登录端点，手动触发认证挑战 #

在Program.cs中添加一个最小API端点，用来主动触发Windows认证，避免浏览器自动弹窗拦截：

app.MapGet("/login", async (HttpContext context) =>
{
    if (!context.User.Identity.IsAuthenticated)
    {
        // 触发Windows认证挑战
        await context.ChallengeAsync(NegotiateDefaults.AuthenticationScheme);
        return;
    }
    // 认证成功后跳转回原页面
    var returnUrl = context.Request.Query["returnUrl"].ToString() ?? "/";
    context.Response.Redirect(returnUrl);
});

关键说明 #

• 启用匿名认证是核心：让请求能绕过HTTP级别的拦截，到达Blazor应用，才能触发Blazor的授权模板逻辑。
• 手动触发认证：通过自定义登录按钮和端点，让用户主动发起认证，取消登录后会回到Blazor的未授权页面，而非服务器生成的401错误页。

内容的提问来源于stack exchange，提问作者Wolfware