ASP.NET MVC跳过登录：用Windows用户名结合数据库角色实现鉴权

我基于教程创建了ASP.NET MVC Web应用，已实现登录功能，当前可通过数据库分配的角色对不同页面进行授权。现在需求变更为：仅允许内部员工通过Windows用户名（结合数据库存储的角色）完成身份验证与授权，无需手动登录；同时保留管理员注册员工并分配角色的权限。

我已尝试以下操作，但应用仍会弹出登录请求，无法实现自动验证：

• 编写了自定义授权特性（代码如下）
• 为不同页面添加带角色的自定义授权特性
• 在Web.config中修改authentication模式为Windows
• 将自定义授权特性添加至FilterConfig.cs
• 在服务器IIS中配置启用Windows身份验证

附自定义授权特性代码：

public CustomAuthorizeAttribute()
{
    myRoleController = new MyRoleController();
    this.allowedroles = myRoleController.GetRoleNames();
    context = new ApplicationDbContext();
}

protected override bool AuthorizeCore(HttpContextBase httpContext)
{
    bool authorize = false;
    var userName = System.Security.Principal.WindowsIdentity.GetCurrent().Name;
    var UserManager = new UserManager<ApplicationUser>(new UserStore<ApplicationUser>(context));
    var user = UserManager.FindByName(userName);
    var userId = user.Id;
    if (!string.IsNullOrEmpty(userId))
        using (var context = new ApplicationDbContext())
        {
            var userRole = myRoleController.GetRoleNameByUserId(user.Id);
            foreach (var role in allowedroles)
            {
                if (role.role == userRole) return true;
            }
        }

    return authorize;
}

protected override void HandleUnauthorizedRequest(AuthorizationContext filterContext)
{
    filterContext.Result = new RedirectToRouteResult(
       new RouteValueDictionary
       {
            { "controller", "Home" },
            { "action", "UnAuthorized" }
       });
}

附Web.config部分配置：

<system.web>
    <authentication mode="Windows" />
    <compilation debug="true" targetFramework="4.7.2" />
    <httpRuntime targetFramework="4.7.2" />
    <globalization fileEncoding="utf-8" requestEncoding="utf-8" responseEncoding="utf-8" culture="en-US" />
    <customErrors mode="On" defaultRedirect="~/Error/" redirectMode="ResponseRedirect">
        <error statusCode="404" redirect="~/Error/NotFound/" />
    </customErrors>
</system.web>
<system.webServer>
    <modules>
        <!--<remove name="FormsAuthentication" />-->
        <remove name="RoleManager" />
    </modules>
    <httpErrors errorMode="Custom" existingResponse="Replace">
        <remove statusCode="404" />
        <error statusCode="404" responseMode="ExecuteURL" path="/Error/PageNotFound" />
    </httpErrors>
</system.webServer>

1. 纠正Windows用户名获取逻辑（核心错误） #

你当前用WindowsIdentity.GetCurrent().Name获取的是服务器进程的账户（比如IIS应用池的账户），而非访问网站的客户端员工的Windows用户名。必须替换为从HttpContext获取客户端用户信息：

修改AuthorizeCore方法中的用户名获取代码：

// 替换原来的 userName 赋值行
var userName = httpContext.User.Identity.Name;
// 先验证用户是否已完成Windows认证
if (!httpContext.User.Identity.IsAuthenticated)
{
    return false;
}

2. 完善Web.config配置 #

（1）添加授权规则，拒绝匿名访问 #

在<system.web>节点内添加：

<authorization>
    <deny users="?" /> <!-- 拒绝所有匿名用户访问 -->
</authorization>

（2）明确配置IIS身份验证模块 #

在<system.webServer>节点内添加身份验证配置，确保启用Windows认证、禁用匿名：

<security>
    <authentication>
        <anonymousAuthentication enabled="false" />
        <windowsAuthentication enabled="true" />
    </authentication>
</security>

（3）移除FormsAuthentication模块避免冲突 #

取消注释原有移除语句，避免Forms认证干扰Windows认证：

<modules>
    <remove name="FormsAuthentication" />
    <remove name="RoleManager" />
</modules>

3. 优化自定义授权特性 #

（1）避免在构造函数中实例化控制器和上下文 #

构造函数会被多次调用，易导致资源泄漏，建议在AuthorizeCore方法内按需创建：

protected override bool AuthorizeCore(HttpContextBase httpContext)
{
    if (!httpContext.User.Identity.IsAuthenticated)
        return false;

    var userName = httpContext.User.Identity.Name;
    bool authorize = false;

    using (var context = new ApplicationDbContext())
    {
        var userManager = new UserManager<ApplicationUser>(new UserStore<ApplicationUser>(context));
        var user = userManager.FindByName(userName);

        // 处理用户未在数据库注册的情况
        if (user == null)
            return false;

        var roleController = new MyRoleController();
        var userRole = roleController.GetRoleNameByUserId(user.Id);
        var allowedRoles = roleController.GetRoleNames();

        // 简化角色匹配逻辑
        authorize = allowedRoles.Any(r => r.role == userRole);
    }

    return authorize;
}

（2）支持指定角色参数（适配管理员权限） #

如果需要给不同页面指定具体允许的角色（比如管理员专属的注册页面），可以修改特性添加参数：

public class CustomAuthorizeAttribute : AuthorizeAttribute
{
    public string Roles { get; set; } // 允许指定单个/多个角色，用逗号分隔

    protected override bool AuthorizeCore(HttpContextBase httpContext)
    {
        if (!httpContext.User.Identity.IsAuthenticated)
            return false;

        var userName = httpContext.User.Identity.Name;

        using (var context = new ApplicationDbContext())
        {
            var userManager = new UserManager<ApplicationUser>(new UserStore<ApplicationUser>(context));
            var user = userManager.FindByName(userName);

            if (user == null)
                return false;

            var roleController = new MyRoleController();
            var userRole = roleController.GetRoleNameByUserId(user.Id);

            // 如果指定了Roles，只匹配指定角色；否则匹配所有数据库中存在的角色
            if (!string.IsNullOrEmpty(Roles))
            {
                var allowedRoles = Roles.Split(',');
                return allowedRoles.Contains(userRole);
            }
            else
            {
                var allRoles = roleController.GetRoleNames();
                return allRoles.Any(r => r.role == userRole);
            }
        }
    }

    // HandleUnauthorizedRequest 方法保留不变
}

使用时给管理员页面指定角色：

[CustomAuthorize(Roles = "Admin")]
public ActionResult RegisterEmployee()
{
    // 管理员注册员工逻辑
}

4. 正确配置IIS #

（1）启用Windows身份验证，禁用匿名 #

• 打开IIS管理器，找到目标站点
• 点击“身份验证”功能
• 确保“匿名身份验证”设置为禁用，“Windows身份验证”设置为启用

（2）配置应用池身份 #

• 应用池身份建议设置为ApplicationPoolIdentity；如果需要访问域资源（比如域用户数据库），可设置为具有相应权限的域账户
• 确保应用池账户拥有访问项目数据库的权限

（3）匹配项目平台设置 #

• 检查站点“高级设置”，确保“启用32位应用程序”选项与项目目标平台一致（64位项目则禁用该选项）

5. 测试与排查 #

• 清除浏览器缓存和Cookie，避免旧认证缓存干扰
• 确保客户端和服务器在同一个Active Directory域，或工作组环境下已建立信任关系（跨域/无信任会触发登录弹窗）
• 本地测试时使用localhost或服务器名称访问，避免用IP地址（IP地址可能触发NTLM认证弹窗）

内容的提问来源于stack exchange，提问作者girldata1209