ASP.NET Core 6 Web API Windows身份验证与授权配置求助

一、基础配置确认 #

你当前添加的Negotiate身份验证配置已经完成了身份验证的基础搭建，但还需要确保宿主环境启用Windows身份验证：

• IIS：在项目的launchSettings.json里，将iisSettings下的windowsAuthentication设为true，anonymousAuthentication设为false
• Kestrel：若使用Kestrel宿主，Negotiate配置已覆盖大部分场景，无需额外配置即可自动识别Windows凭据

二、配置组/用户授权 #

要实现「仅允许指定Windows组/用户访问」，可通过两种方式配置授权：

1. 直接使用角色授权（快速实现）

Windows域组或本地组会自动映射为.NET的「角色」，你可以直接在授权规则中指定组名：

修改Program.cs中的授权配置：

builder.Services.AddAuthorization(options =>
{
    // 设置默认策略：仅允许属于指定组的用户访问
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .RequireRole("你的Windows组名") // 替换为实际域组/本地组名
        .Build();

    // 可选：添加多权限自定义策略
    options.AddPolicy("AdminGroup", policy =>
        policy.RequireRole("Domain Admins", "Local Admins"));
});

在API控制器或端点上应用授权：

// 应用默认策略（仅指定组可访问）
[Authorize]
[ApiController]
[Route("api/[controller]")]
public class ProtectedController : ControllerBase
{
    // API逻辑
}

// 应用自定义AdminGroup策略
[Authorize(Policy = "AdminGroup")]
[HttpGet("admin")]
public IActionResult GetAdminData()
{
    return Ok("仅管理员组可访问");
}

2. 自定义授权策略（复杂场景）

如果需要同时检查用户和组、添加自定义条件，可使用灵活的策略配置：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AllowedUsersAndGroups", policy =>
    {
        policy.RequireAuthenticatedUser();
        // 允许指定单个用户
        policy.RequireUserName("DOMAIN\\UserName1", "DOMAIN\\UserName2");
        // 同时允许指定组
        policy.RequireRole("AllowedUsersGroup");
    });
});

三、调试用户信息（可选） #

若需要确认当前用户的组/身份信息，可在API中添加调试接口：

[HttpGet("userinfo")]
public IActionResult GetUserInfo()
{
    var userName = User.Identity?.Name;
    var roles = User.Claims.Where(c => c.Type == ClaimTypes.Role).Select(c => c.Value);
    return new JsonResult(new { UserName = userName, Roles = roles });
}

四、未来Blazor前端适配 #

后续要保护Blazor应用时：

• Blazor Server：直接复用当前Negotiate配置，在组件上使用[Authorize]特性即可，Windows凭据会自动传递
• Blazor WebAssembly：需配置前端通过HttpClient传递凭据（设置withCredentials: true），后端保持现有身份验证逻辑即可

内容的提问来源于stack exchange，提问作者Tom Gordon