Docker中.NET Core API的Windows身份验证问题：HttpContext.User.Identity.Name返回Null

1. 区分容器类型配置身份验证 #

• Linux容器：本身不原生支持Windows域身份验证，需通过Kerberos或反向代理实现：
  • 配置Kerberos：在容器内设置KRB5_CONFIG环境变量指向Kerberos配置文件，为API服务创建SPN（服务主体名称），并将keytab文件挂载到容器中。
  • 反向代理方案：用IIS/Nginx作为前端处理Windows身份验证，再将用户身份信息传递给容器内的API。
• Windows容器：需确保容器加入域，或配置主机身份验证传递。Dockerfile中要启用Windows身份验证相关组件，同时正确配置API的身份验证逻辑。

2. 检查API的身份验证配置 #

在Program.cs中确认Windows身份验证启用顺序和代码正确：

// 注册Windows身份验证服务
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
   .AddNegotiate();

// 配置授权策略
builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = options.DefaultPolicy;
});

// 注册HttpContextAccessor
builder.Services.AddHttpContextAccessor();

// 中间件顺序必须正确
app.UseForwardedHeaders(); // 若用反向代理需先添加
app.UseAuthentication();
app.UseAuthorization();
app.MapControllers();

3. 验证请求的身份验证头 #

确保客户端请求携带Authorization: Negotiate <token>或Authorization: NTLM <token>头。如果没有，说明客户端未发起Windows身份验证请求：

• 浏览器需启用Windows集成身份验证；
• 客户端代码需设置使用默认凭据（比如HttpClientHandler.UseDefaultCredentials = true）。

4. 反向代理的身份传递配置 #

若用IIS作为反向代理：

• 启用站点的Windows身份验证，设置forwardWindowsAuthToken="true"；
• API中配置信任代理的转发头：

builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    options.KnownProxies.Add(IPAddress.Parse("代理服务器IP"));
});

5. Windows容器的域加入配置 #

将Windows容器加入Active Directory域：

• 构建加入域的镜像，或运行容器时传入域凭据：

docker run -d --name api-container --domainname your-domain.com -e USERNAME=domain-user -e PASSWORD=your-pw your-api-image

确保容器内服务账户有访问域身份验证服务的权限。

6. 调试排查 #

添加接口输出用户身份信息，通过容器日志验证：

app.MapGet("/whoami", (IHttpContextAccessor httpContextAccessor, ILogger<Program> logger) =>
{
    var user = httpContextAccessor.HttpContext.User;
    logger.LogInformation("Auth Status: {IsAuthenticated}, User Name: {Name}", 
        user.Identity?.IsAuthenticated, user.Identity?.Name);
    return new { IsAuthenticated = user.Identity?.IsAuthenticated, UserName = user.Identity?.Name };
});

根据日志判断是身份验证未通过，还是用户信息未正确传递。

内容的提问来源于stack exchange，提问作者user6413469