AngularJS对接ASP.NET Framework API（Windows认证）无法获取域用户

核心原因分析 #

前端AngularJS发起的AJAX请求未正确传递Windows域身份凭证，或Windows认证与Bearer令牌认证存在冲突、IIS模拟配置未生效，导致API无法获取用户的域身份。

具体解决步骤 #

1. 确保AngularJS请求携带Windows凭证 #

AngularJS默认不会在跨域（甚至同域子应用）请求中传递用户凭证，必须显式开启withCredentials：

• 全局配置（推荐）：在AngularJS配置阶段设置

  angular.module('yourApp').config(['$httpProvider', function($httpProvider) {
      $httpProvider.defaults.withCredentials = true;
  }]);
  

• 单个请求配置

  $http.get('/api/your-endpoint', { withCredentials: true })
      .then(function(response) { /* 处理响应 */ });
  

2. 修正Web API身份获取方式 #

避免使用System.Web.HttpContext.Current.Request.LogonUserIdentity.Name，改用Web API原生身份对象，适配Web API管道模型：
在API控制器中：

// 推荐方式
var userName = User.Identity.Name;
// 或
var userName = RequestContext.Principal.Identity.Name;

3. 排查IIS模拟与委派配置 #

尽管已启用模拟，内网域环境下需确保以下配置：

• Web.config中模拟配置正确：

  <system.web>
      <identity impersonate="true" />
  </system.web>
  

• 域控制器（AD）中，给应用池运行账户分配**“允许计算机和用户账户被信任用于委派”**权限（需域管理员操作），这是约束模拟生效的必要条件。
• 确保应用池账户具备读取域用户信息的权限，未被限制模拟权限。

4. 处理Bearer令牌与Windows认证的冲突 #

同时使用两种认证时，需调整Web API中间件加载顺序：

• 在WebApiConfig.cs中，优先启用Windows认证，避免Bearer认证覆盖Windows身份：

  // 先启用Windows认证
  config.SuppressDefaultHostAuthentication();
  config.Filters.Add(new HostAuthenticationFilter(WindowsAuthenticationDefaults.AuthenticationType));
  // 再配置Bearer认证
  config.Filters.Add(new HostAuthenticationFilter(OAuthDefaults.AuthenticationType));
  

• 确认Web.config中启用Windows认证：

  <system.web>
      <authentication mode="Windows" />
  </system.web>
  

5. 验证请求凭证传递情况 #

用浏览器开发者工具（F12 → Network标签）查看API请求头：

• 确认存在Authorization: Negotiate <token>或Authorization: NTLM <token>头，表明Windows凭证已成功传递。
• 若没有该头，检查前端withCredentials配置是否生效，或浏览器是否因跨域未正确配置CORS而阻止凭证传递。

6. 配置CORS（若SPA与API为独立IIS应用） #

如果SPA和API部署在不同IIS应用或域名下，需在Web API中启用支持凭证的CORS：

// 在WebApiConfig.cs中
var cors = new EnableCorsAttribute("http://your-spa-domain", "*", "*")
{
    SupportsCredentials = true
};
config.EnableCors(cors);

注意：将http://your-spa-domain替换为实际SPA内网域名，避免使用*作为允许来源（浏览器会拒绝带凭证的请求）。

内容的提问来源于stack exchange，提问作者Daniel Costa