ASP.NET Core WebAPI中浏览器未携带Basic认证头问题排查

你的问题核心是中间件顺序错误+IIS Windows认证模块干扰，同时自定义中间件未与ASP.NET Core内置认证系统协同工作，导致浏览器提交的Basic认证头无法被正确捕获。

问题分析 #

1. 中间件顺序逻辑错误
   你将BasicAuthMiddleware放在了UseAuthentication()和UseAuthorization()之后。ASP.NET Core的UseAuthentication()会优先触发全局配置的NTLM/Negotiate认证处理，这一步会修改请求上下文，甚至在你的自定义中间件执行前就完成了认证流程，导致后续无法获取到Basic认证头。

2. IIS Windows认证的拦截
   由于全局开启了NTLM/Negotiate，IIS的Windows认证模块会优先介入请求处理。当浏览器弹出Basic认证框并提交凭证后，可能同时发送Windows认证凭证和Basic凭证，IIS的Windows认证模块会先处理并消耗请求头，最终你的自定义中间件无法拿到Basic格式的Authorization头。

3. 自定义中间件未集成框架认证体系
   你的手动认证实现没有和ASP.NET Core的ClaimsPrincipal等认证上下文绑定，即使验证通过，后续的UseAuthorization()也无法识别认证状态，可能引发额外权限问题。

解决方案 #

1. 调整中间件顺序 #

将BasicAuthMiddleware移到UseAuthentication()之前，确保它能在内置认证处理前捕获请求：

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();

// 移至UseAuthentication之前，优先处理Basic认证逻辑
app.UseMiddleware<BasicAuthMiddleware>();

app.UseAuthentication();
app.UseAuthorization();

// 其他中间件保持原有顺序
app.UseSwagger();
app.UseSwaggerUI(c => { /* Swagger配置 */ });
app.UseCustomAuthMiddleware();

app.UseEndpoints(endpoints => endpoints.MapControllers());

2. 针对特定端点禁用IIS Windows认证 #

在项目的web.config中，为/basicauthendpoint路径单独禁用Windows认证，避免IIS拦截Basic认证头：

<location path="basicauthendpoint">
  <system.webServer>
    <security>
      <authentication>
        <windowsAuthentication enabled="false" />
        <anonymousAuthentication enabled="true" />
      </authentication>
    </security>
  </system.webServer>
</location>

3. 改用ASP.NET Core内置Basic认证方案（推荐） #

放弃自定义中间件，使用官方Basic认证方案，贴合框架生态避免冲突：

• 注册Basic认证方案（Program.cs/Startup.cs）：

services.AddAuthentication()
    .AddNegotiate() // 全局NTLM/Negotiate认证
    .AddBasic("BasicAuthScheme", options =>
    {
        options.Realm = "YourAppRealm";
        options.Events = new BasicAuthenticationEvents
        {
            OnValidateCredentials = async context =>
            {
                // 替换为你的凭证验证逻辑
                var credentials = context.HttpContext.RequestServices
                    .GetRequiredService<IOptions<List<BasicCredential>>>().Value;
                var validUser = credentials.FirstOrDefault(c => 
                    c.Username == context.UserName && c.Password == context.Password);
                
                if (validUser != null)
                {
                    var claims = new List<Claim>
                    {
                        new Claim(ClaimTypes.Name, context.UserName)
                    };
                    context.Principal = new ClaimsPrincipal(
                        new ClaimsIdentity(claims, context.Scheme.Name));
                    context.Success();
                }
            }
        };
    });

• 在目标控制器上指定使用Basic认证：

[ApiController]
[Route("basicauthendpoint")]
[Authorize(AuthenticationSchemes = "BasicAuthScheme")]
public class BasicAuthController : ControllerBase
{
    // 端点逻辑
}

额外测试建议 #

用Postman等工具直接构造Basic认证请求，排除浏览器自动选择认证方式的干扰，确认认证逻辑是否正常。

内容的提问来源于stack exchange，提问作者Ivan-Mark Debono