Blazor Server应用Windows认证：如何跳过登录弹窗？

我正在使用.NET 6.0.11构建Blazor Server应用，通过Http.Sys部署，服务器与客户端均处于同一Windows域中，希望基于用户域登录信息授权，而非搭建独立账号体系。

根据官方文档，我在Program.cs中添加了启用Windows认证的代码：

if (RuntimeInformation.IsOSPlatform(OSPlatform.Windows))
{
    builder.Services.AddAuthentication(HttpSysDefaults.AuthenticationScheme);
    builder.WebHost.UseHttpSys(options =>
    {
        options.Authentication.Schemes =
            AuthenticationSchemes.NTLM | AuthenticationSchemes.Negotiate;            
        options.Authentication.AllowAnonymous = false;
    });
}

// ...
app.UseAuthentication();
app.UseAuthorization();

通过ASP.NET Core Blazor认证授权文档的示例查看认证状态：

• 以http://localhost:55555启动时，页面可直接加载并显示我的域账户名；
• 以http://mycomputername.our.domain:55555启动，用Chrome或Edge访问时会弹出登录弹窗（首次运行需执行netsh http add urlacl命令解决URL权限问题）。

同时发现以下行为：

• 设置AllowAnonymous = true时无弹窗，但用户未认证；
• 输入错误账号立即返回HTTP 401错误，不触发Blazor默认错误页；
• 希望认证在客户端与域控制器间完成，而非HTTP传输密码。

我的问题：

1. 是否可跳过登录弹窗，直接获取客户端已登录的域用户信息？
2. 若无法实现，部署到IIS而非Http.Sys是否会有变化？

注：原本因文档称Kestrel不支持Windows认证而使用Http.Sys，现在结合方案Kestrel也能正常工作，对此存在疑惑。

解答 #

问题1：跳过登录弹窗，自动获取域用户信息 #

可以实现，核心是让浏览器自动发送当前登录的域凭据，需满足以下条件：

• 将服务器域名加入浏览器「本地 intranet」区域
  Chrome/Edge对该区域默认启用「自动登录当前用户名和密码」策略。操作时打开浏览器设置，搜索「本地 intranet」，添加http://mycomputername.our.domain到该区域，并确认安全策略为自动发送凭据。
• 确保Kerberos（Negotiate）认证正常生效
  你配置的Negotiate是Kerberos协议，相比NTLM能实现无密码弹窗的域内自动认证。需完成：
  • 在域控制器为服务器注册SPN（服务主体名称），格式为HTTP/mycomputername.our.domain和HTTP/mycomputername；
  • 运行应用的账户（通常是域机器账户，自定义账户需手动配置）拥有该SPN的权限；
  • 客户端能正常解析服务器域名，域控制器可正常响应Kerberos请求。
    若Kerberos配置成功，浏览器会自动用当前域账户票据完成认证；若Kerberos失败，才会 fallback 到NTLM，此时是否弹窗取决于浏览器设置。

问题2：部署到IIS的差异 #

部署到IIS后核心逻辑类似，但有几个关键变化：

• IIS接管认证底层处理：IIS集成Windows认证默认优先使用Kerberos，SPN配置逻辑和Http.Sys一致，但IIS会自动处理部分底层细节；
• 应用池身份权限：需确保应用池身份（如ApplicationPoolIdentity或域账户）拥有正确权限，且SPN注册正确；
• 浏览器行为无变化：仍需将服务器域名加入本地intranet区域才能自动发送凭据；
• 错误页处理：HTTP 401错误由IIS直接返回，Blazor错误页仅能处理应用内异常，需通过IIS配置自定义401错误页。

关于Kestrel支持Windows认证的疑惑 #

Kestrel本身不直接内置Windows认证，但可以通过Microsoft.AspNetCore.Authentication.Negotiate中间件实现。该中间件在Kestrel之上封装了Kerberos/NTLM认证流程，和Http.Sys的内置认证是不同实现路径。只要正确配置AddNegotiate()中间件并完成SPN设置，Kestrel就能正常实现域内Windows认证。

内容的提问来源于stack exchange，提问作者M.M