System.Net.NetworkCredential无法认证访问Windows共享文件求助

这个问题我之前也遇到过类似的情况，主要是WebClient在工作组环境下处理SMB共享的身份验证逻辑和Python的SMBConnection存在差异，咱们一步步来拆解：

为什么WebClient的Credentials不生效？ #

1. 身份验证协议版本问题：你的Python脚本明确指定了use_ntlm_v2=True，而WebClient默认的NetworkCredential在工作组环境下，可能没有强制使用NTLMv2协议。Windows Server 2019的默认安全策略通常会优先要求NTLMv2，旧版本的NTLM会被拒绝，这就导致了凭据验证失败。
2. SMB路径的处理方式：WebClient本质上是为HTTP/HTTPS设计的，虽然它支持\\server\share这种SMB路径，但底层调用的Windows网络API对凭据的处理逻辑，和专门的SMB客户端（比如Python的SMBConnection）不同，容易出现上下文不匹配的情况。
3. 工作组环境的身份验证上下文：在工作组中，没有域控制器来统一验证身份，Server1需要向Server2发送包含NTLMv2哈希的验证请求，而WebClient默认的凭据设置没有正确触发这个流程。

解决方案 #

方案1：先建立SMB网络连接，再用WebClient访问 #

通过Windows API手动建立带正确凭据的SMB连接，WebClient会复用这个已有的连接，绕开自身的凭据验证问题：

# 引入Windows网络连接API
Add-Type @"
using System;
using System.Runtime.InteropServices;

public class NetworkHelper
{
    [DllImport("mpr.dll")]
    public static extern int WNetAddConnection2(
        ref NETRESOURCE lpNetResource,
        string lpPassword,
        string lpUserName,
        int dwFlags);

    [DllImport("mpr.dll")]
    public static extern int WNetCancelConnection2(
        string lpName,
        int dwFlags,
        bool fForce);

    [StructLayout(LayoutKind.Sequential)]
    public struct NETRESOURCE
    {
        public int dwScope;
        public int dwType;
        public int dwDisplayType;
        public int dwUsage;
        public string lpLocalName;
        public string lpRemoteName;
        public string lpComment;
        public string lpProvider;
    }

    public const int RESOURCETYPE_DISK = 0x1;
}
"@

# 配置共享路径和凭据
$remoteShare = "\\192.168.1.55\share_object"
$user = "192.168.1.55\Administrator"
$pass = "P@ssw0rdshare"
$localSavePath = "D:\share_local\test.jpg"
$fileUrl = "\\192.168.1.55\share_object\test.jpg"

# 初始化网络资源结构体
$netResource = New-Object NetworkHelper+NETRESOURCE
$netResource.dwType = [NetworkHelper]::RESOURCETYPE_DISK
$netResource.lpRemoteName = $remoteShare

# 建立SMB连接
$connectResult = [NetworkHelper]::WNetAddConnection2([ref]$netResource, $pass, $user, 0)
if ($connectResult -eq 0) {
    Write-Host "SMB连接建立成功"
    # 使用WebClient下载文件（无需再设置Credentials）
    $webClient = New-Object System.Net.WebClient
    try {
        $webClient.DownloadFile($fileUrl, $localSavePath)
        Write-Host "文件下载完成，保存到: $localSavePath"
    }
    catch {
        Write-Host "下载失败: $_"
    }
    finally {
        $webClient.Dispose()
        # 可选：断开SMB连接
        [NetworkHelper]::WNetCancelConnection2($remoteShare, 0, $true)
    }
}
else {
    Write-Host "SMB连接建立失败，错误码: $connectResult"
}

方案2：使用HttpClient替代WebClient（推荐） #

HttpClient是.NET更现代的网络客户端，能更灵活地控制身份验证协议，强制启用NTLMv2：

$localSavePath = "D:\share_local\test.jpg"
# 注意这里用file://协议格式
$fileUrl = "file://192.168.1.55/share_object/test.jpg"
$user = "192.168.1.55\Administrator"
$pass = "P@ssw0rdshare"

# 配置HttpClientHandler，强制使用NTLMv2
$handler = New-Object System.Net.Http.HttpClientHandler
$handler.Credentials = New-Object System.Net.NetworkCredential($user, $pass)
$handler.UseDefaultCredentials = $false
$handler.PreAuthenticate = $true

# 强制启用NTLMv2（通过修改认证属性）
$ntlmSettings = $handler.GetType().GetField("_ntlmAuthLevel", [System.Reflection.BindingFlags]::NonPublic -bor [System.Reflection.BindingFlags]::Instance)
$ntlmSettings.SetValue($handler, 3) # 3代表强制NTLMv2

$client = New-Object System.Net.Http.HttpClient($handler)
try {
    $response = $client.GetAsync($fileUrl).Result
    if ($response.IsSuccessStatusCode) {
        $fileBytes = $response.Content.ReadAsByteArrayAsync().Result
        [System.IO.File]::WriteAllBytes($localSavePath, $fileBytes)
        Write-Host "文件下载成功"
    }
    else {
        Write-Host "下载失败，状态码: $($response.StatusCode)"
    }
}
catch {
    Write-Host "请求异常: $_"
}
finally {
    $client.Dispose()
    $handler.Dispose()
}

方案3：调整本地安全策略（全局设置，谨慎操作） #

如果上面的代码方案都不适用，可以修改Server1的本地安全策略，确保NTLMv2被优先使用：

• 打开secpol.msc（本地安全策略）
• 导航到本地策略 -> 安全选项
• 找到网络安全: LAN 管理器身份验证级别，设置为发送 NTLMv2 响应\拒绝 LM & NTLM
• 找到网络安全: NTLMv2 会话安全: 要求 NTLMv2 会话安全，设置为已启用
• 重启Server1使设置生效

这个方案会影响Server1上所有应用的NTLM验证行为，所以建议优先使用代码层面的解决方案。

内容的提问来源于stack exchange，提问作者Brice