ASP.NET Core 7 Minimal API在IIS 10中自定义401响应的问题

在IIS 10.0上托管ASP.NET Core 7的Minimal API项目，已经在launchsettings.json里启用Windows身份验证和匿名身份验证，用来支持部分路由允许匿名访问。现在需要让所有400-599的错误都返回自定义DTO，但访问需要Windows身份验证的路由时，请求根本没进到Web API代码里，IIS直接返回了不带响应体的401。试过用app.UseStatusCodePages()和app.UseExceptionHandler()，但请求根本不会进入这些中间件，想知道怎么配置才能让IIS不拦截请求，由Web API自己生成响应。

现有配置：

Program.cs #

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme).AddNegotiate();
builder.Services.AddAuthorization(options =>
{
    // By default, all incoming requests will be authorized according to the default policy.
    options.FallbackPolicy = options.DefaultPolicy;
});

web.config #

<system.webServer>
    <httpErrors existingResponse="PassThrough" />
</system.webServer>

1. 修改web.config，让ASP.NET Core接管身份验证 #

IIS在集成模式下会提前处理Windows身份验证的401响应，需要调整配置移除默认的验证模块，让ASP.NET Core全权处理：

<system.webServer>
    <httpErrors existingResponse="PassThrough" />
    <security>
        <authentication>
            <anonymousAuthentication enabled="true" />
            <windowsAuthentication enabled="true" />
        </authentication>
    </security>
    <modules runAllManagedModulesForAllRequests="false">
        <remove name="WindowsAuthentication" />
        <remove name="BasicAuthentication" />
    </modules>
</system.webServer>

2. 调整中间件顺序，确保错误处理先执行 #

把错误处理中间件放在身份验证和授权中间件前面，这样即使验证失败，请求也能进入错误处理逻辑生成自定义DTO：

// 先注册自定义错误处理
app.UseStatusCodePages(async context =>
{
    var response = context.HttpContext.Response;
    if (response.StatusCode is >= 400 and <= 599)
    {
        response.ContentType = "application/json";
        var errorDto = new 
        {
            StatusCode = response.StatusCode,
            Message = "请求处理失败",
            Details = "可根据实际场景补充详细错误信息"
        };
        await response.WriteAsJsonAsync(errorDto);
    }
});

// 再注册身份验证和授权
app.UseAuthentication();
app.UseAuthorization();

// 最后配置路由
app.MapControllers();
// 你的Minimal API路由配置，比如：
// app.MapGet("/api/data", () => Results.Ok("...")).RequireAuthorization();

3. 调整授权策略，避免全局强制授权 #

原来的FallbackPolicy会让所有请求默认走授权，容易被IIS提前拦截。改成取消全局默认授权，在需要验证的路由上显式添加授权要求：

builder.Services.AddAuthorization(options =>
{
    // 取消全局默认的回退授权策略
    options.FallbackPolicy = null;
});

// Minimal API示例：需要授权的路由
app.MapGet("/api/secure", () => Results.Ok("仅授权用户可见"))
   .RequireAuthorization();

// 匿名可访问的路由
app.MapGet("/api/public", () => Results.Ok("所有人可见"));

4. 检查IIS站点的错误页设置 #

在IIS管理器里找到你的站点，进入错误页设置，找到401状态码，把处理方式改成传递到ASP.NET Core或者执行URL（指向你的API错误处理路径），不要用IIS自带的自定义错误页。

内容的提问来源于stack exchange，提问作者Teh Swish