部署在IIS上的ASP.NET MVC 5.2.0间歇性弹出Windows登录窗口

针对部署在Windows Server 2019 IIS上的ASP.NET MVC应用（已禁用IIS Windows身份验证、使用Azure AD认证），触发服务调用时间歇性弹出Windows登录窗口的问题，可从以下方向排查解决：

• 清理IIS身份验证模块残留
  即使已在IIS界面禁用Windows身份验证，相关模块可能仍未完全移除。可直接在web.config的<modules>节点中添加移除指令，强制清除Windows身份验证相关模块：

  <modules runAllManagedModulesForAllRequests="true">
      <remove name="FormsAuthentication" />
      <remove name="WindowsAuthentication" />
      <remove name="Negotiate" />
      <remove name="NTLM" />
      <!-- 保留原有其他模块配置 -->
  </modules>
  

  也可在IIS管理器中进入站点的「模块」功能，手动移除WindowsAuthenticationModule、Negotiate、NTLM模块。

• 检查服务调用目标端点的身份验证配置
  若按钮触发的是对内部其他服务的调用，需确认目标服务的IIS身份验证设置：如果目标服务启用了Windows身份验证，浏览器会自动尝试发送当前Windows凭据，进而触发登录弹窗。需将目标服务的身份验证配置与主应用对齐，改用Azure AD认证或允许匿名访问（根据业务场景判断）。

• 补充web.config的IIS核心身份验证配置
  除了<system.web>节点，还需在<system.webServer>节点中明确禁用Windows身份验证、启用匿名访问，覆盖IIS的默认配置：

  <system.webServer>
      <security>
          <authentication>
              <windowsAuthentication enabled="false" />
              <anonymousAuthentication enabled="true" />
          </authentication>
      </security>
  </system.webServer>
  

• 排查浏览器自动凭据发送设置
  IE/Edge等浏览器会对Intranet区域站点自动发送Windows凭据，可能导致间歇性弹窗。可在浏览器的「Internet选项」中，将当前站点从Intranet区域移至Internet区域，或关闭「自动登录到Intranet区域」的相关设置。

• 通过IIS日志定位触发源头
  启用IIS的详细日志记录，查看弹窗发生时的请求状态码（通常是401系列），定位具体是哪个端点或资源触发了身份验证挑战，再针对性调整该资源的权限或认证配置。

内容的提问来源于stack exchange，提问作者dr0pdb