.NET 6 Blazor Server部署IIS后获取当前用户返回应用池身份问题

这是IIS与ASP.NET/Blazor配置共同作用导致的问题，核心是Windows身份验证的传递机制未正确配置，以下是具体解决步骤：

一、IIS端核心配置 #

• 强制启用Windows身份验证
  1. 打开IIS管理器，定位到你的Blazor站点，进入「身份验证」功能
  2. 禁用「匿名身份验证」，启用「Windows身份验证」
• 应用池身份与委派设置
  1. 进入应用池配置，将应用池身份改为域账户（默认的ApplicationPoolIdentity无法稳定传递用户身份，域账户是更可靠的选择）
  2. 若站点需要访问后端资源（如数据库），在AD用户管理中给该域账户配置Kerberos委派权限：找到账户属性的「委派」选项卡，选择「信任此用户进行委派到任何服务（仅Kerberos）」（若仅需访问特定服务，可选择对应项）
• 站点高级设置校验
  进入站点「高级设置」，确认「启用32位应用程序」选项与你的程序架构匹配（64位程序设为False），避免身份验证模块加载异常

二、Blazor/ASP.NET端配置 #

• Program.cs中完善身份验证注册
  确保Windows身份验证中间件和Blazor SignalR的身份传递配置正确：

  var builder = WebApplication.CreateBuilder(args);
  
  // 注册Windows身份验证服务
  builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
      .AddNegotiate();
  
  builder.Services.AddAuthorization(options =>
  {
      options.FallbackPolicy = options.DefaultPolicy;
  });
  
  // 配置Blazor Server，开启SignalR身份验证
  builder.Services.AddRazorPages();
  builder.Services.AddServerSideBlazor()
      .AddHubOptions(options =>
      {
          options.AuthorizationEnabled = true;
      });
  
  // 注册HttpContextAccessor（若需使用）
  builder.Services.AddHttpContextAccessor();
  
  var app = builder.Build();
  
  // 启用身份验证与授权中间件
  app.UseAuthentication();
  app.UseAuthorization();
  
  app.MapBlazorHub();
  app.MapFallbackToPage("/_Host");
  
  app.Run();
  

• 组件中优先使用AuthenticationStateProvider
  避免直接依赖IHttpContextAccessor获取用户身份——Blazor Server的SignalR连接是持久化的，IHttpContextAccessor仅在初始请求时有效，后续交互需通过AuthenticationStateProvider获取实时身份：

  @inject AuthenticationStateProvider AuthStateProvider
  
  @code {
      private string? currentUserName;
  
      protected override async Task OnInitializedAsync()
      {
          var authState = await AuthStateProvider.GetAuthenticationStateAsync();
          currentUserName = authState.User.Identity?.Name;
      }
  }
  

三、Kerberos关键配置（域环境必做） #

域环境下必须配置SPN（服务主体名称）才能实现身份传递：
在域控制器的命令行中执行以下命令（替换占位符为你的实际信息）：

setspn -A HTTP/你的站点域名.公司域.com 公司域\应用池域账户
setspn -A HTTP/你的站点域名 公司域\应用池域账户

同时确保客户端浏览器将站点添加到「本地Intranet」区域，否则浏览器不会自动传递Windows身份凭证。

四、验证步骤 #

1. 重启IIS站点与应用池
2. 使用域账户从客户端访问站点，检查用户身份是否正确显示
3. 若问题仍存在，查看IIS日志和Windows事件查看器的「安全」日志，排查身份验证失败的具体原因

内容的提问来源于stack exchange，提问作者arky