.NET 6 React SPA集成Windows身份认证无法获取用户名求助

核心问题根源 #

开发环境的SPA Proxy会代理前端请求，容易破坏Windows认证依赖的Negotiate（NTLM/Kerberos）协议上下文；部署环境的IIS配置细节遗漏，也会导致认证失效。以下是针对性的修复步骤：

1. 修复SPA Proxy的认证传递配置 #

在Properties/launchSettings.json中，确保代理配置明确启用Windows认证、禁用匿名，同时关闭自动CORS处理（避免干扰认证头）：

{
  "profiles": {
    "YourProjectName": {
      "commandName": "Project",
      "launchBrowser": true,
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      },
      "applicationUrl": "https://localhost:5001;http://localhost:5000",
      "dotnetRunMessages": true,
      "windowsAuthentication": true,
      "anonymousAuthentication": false,
      "proxyUri": "https://localhost:3000",
      "proxyEnableCORS": false
    }
  }
}

2. 强制控制器的授权校验 #

给WeatherForecastController添加[Authorize]特性，确保只有认证用户能访问，避免匿名请求绕过：

[ApiController]
[Route("[controller]")]
[Authorize]
public class WeatherForecastController : ControllerBase
{
    // 控制器逻辑
}

3. 部署环境IIS配置修正 #

部署到IIS时，必须确保以下配置：

• 站点认证模块：启用Windows认证，禁用匿名认证
• 应用程序池标识：使用ApplicationPoolIdentity（域环境需访问资源时改用域账户）
• 项目根目录的web.config添加认证配置：

<system.webServer>
  <security>
    <authentication>
      <anonymousAuthentication enabled="false" />
      <windowsAuthentication enabled="true" />
    </authentication>
  </security>
  <handlers>
    <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModuleV2" resourceType="Unspecified" />
  </handlers>
  <aspNetCore processPath="dotnet" arguments=".\YourProject.dll" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" hostingModel="OutOfProcess" />
</system.webServer>

4. 解决SPA Proxy的Negotiate协议兼容问题 #

开发环境中，SPA Proxy默认逻辑无法正确传递NTLM/Kerberos上下文，可二选一解决：

方案A：关闭SPA Proxy，后端托管静态文件

将React项目打包（npm run build），把build目录下的文件复制到后端项目的wwwroot，然后修改Program.cs：

// 注释掉原SPA代理代码，替换为静态文件托管
app.UseStaticFiles();
app.MapFallbackToFile("index.html");

这样前端直接从后端端口加载，避免代理干扰。

方案B：手动配置前端代理传递认证头

如果要保留SPA Proxy，在前端项目的package.json中添加代理配置：

"proxy": {
  "/": {
    "target": "https://localhost:5001",
    "secure": false,
    "changeOrigin": true,
    "onProxyReq": (proxyReq, req, res) => {
      if (req.headers.authorization) {
        proxyReq.setHeader('Authorization', req.headers.authorization);
      }
    }
  }
}

5. 正确获取HttpContext用户 #

不要在控制器构造函数中访问HttpContext（此时认证中间件还未执行），要在Action中获取：

[HttpGet]
public IEnumerable<WeatherForecast> Get()
{
    var userName = User.Identity?.Name; // 正确的获取方式
    // 业务逻辑
}

6. 域环境Kerberos/NTLM排查 #

如果是域内网，需要：

• 确保服务器已注册正确的SPN（服务主体名称），支持Kerberos认证
• 客户端浏览器将站点加入本地Intranet区域，开启自动发送Windows凭据（IE/Edge：Internet选项→安全→本地Intranet→自定义级别→自动登录到Intranet区域）

终极变通方案 #

如果以上配置都无效，直接放弃SPA Proxy，采用后端直接托管SPA静态文件的方式，彻底规避代理带来的认证问题。

内容的提问来源于stack exchange，提问作者jefissu