ASP.NET同时启用Windows认证与AD账号密码登录的登出异常问题

问题背景 #

开发ASP.NET应用时需要同时支持两种登录能力：

• 用户名密码登录：输入AD域账号，通过LDAP校验凭据有效性，校验通过后写入Cookie完成登录
• AD快捷登录：提供专属按钮，支持直接使用当前设备关联的AD账号快速登录
  配置两种登录方式的原因是部分测试场景下，需要使用域内测试虚拟账号（非当前设备绑定的真实域账号）登录。
  启用Windows认证后出现登出异常：用户调用登出接口清除认证Cookie后，手动访问任意标记[Authorize]特性的受保护接口时，HttpContext.User会默认读取当前设备Windows账号身份自动登录，不符合业务预期。

问题复现流程 #

1. 发起GET请求访问登录页
2. 提交POST请求完成账号密码登录
3. 发起GET请求访问欢迎页
4. 发起GET请求执行登出，清除认证Cookie
5. 手动输入受保护页面地址发起访问，触发异常：系统默认使用当前设备Windows用户身份自动登录

原有核心代码 #

Login GET接口

[HttpGet]
public IActionResult Login()
{
    return View(new LoginViewModel());
}

Login POST接口（账号密码登录）

[HttpPost]
public async Task<IActionResult> Login(LoginViewModel viewModel)
{
    // LDAP校验域账号凭据
    if (ModelState.IsValid && await ValidateUser(viewModel.Username, viewModel.Password))
    {
        User user = null;
        // 校验用户是否存在于数据库，不存在则新增
        user = new User()
        {
            RoleId = 1,
            Username = viewModel.Username!
        };

        var claims = new[] {
            new Claim(ClaimTypes.Name, user.Username),
            new Claim(ClaimTypes.Role, user.RoleId.ToString())
        };

        var identity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);

        await HttpContext.SignInAsync
            (CookieAuthenticationDefaults.AuthenticationScheme, 
            new ClaimsPrincipal(identity), 
            new AuthenticationProperties());

        return RedirectToAction(nameof(Welcome));
    }

    ModelState.AddModelError("", "Invalid credentials");
    viewModel.Password = string.Empty;
    return View(viewModel);
}

Logout接口

[HttpGet]
public async Task<IActionResult> Logout()
{
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    return RedirectToAction(nameof(Login));
}

问题根因 #

同时启用Windows认证和Cookie认证时，未明确指定认证方案的生效边界：ASP.NET认证中间件会按注册顺序自动尝试所有可用认证方案填充HttpContext.User，Cookie失效后会自动回退到Windows认证结果，未对Windows认证的触发场景做限制，导致登出清Cookie后仍被自动识别为当前设备Windows用户。

解决方案 #

核心思路是将Windows认证从全局自动生效改为指定接口手动触发，全局仅认可Cookie认证的身份，具体调整步骤如下：

1. 调整认证服务配置 #

在Program.cs（或Startup.ConfigureServices）中修改认证注册逻辑，将Cookie设为唯一默认认证方案，Windows认证仅作为独立方案手动调用，禁止自动回退：

builder.Services.AddAuthentication(options =>
{
    // 全局默认认证、鉴权、登录、登出全部使用Cookie方案
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
})
.AddCookie(options =>
{
    options.LoginPath = "/Login";
    options.LogoutPath = "/Logout";
    // 禁止Cookie认证失败时自动转发到其他认证方案
    options.ForwardAuthenticate = null;
})
// 单独注册Windows域认证方案（老版本SDK可使用AddWindowsAuthentication）
.AddNegotiate();

2. 配置全局授权策略 #

全局授权策略仅认可Cookie认证签发的身份，避免Windows身份直接通过授权校验：

builder.Services.AddAuthorization(options =>
{
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .AddAuthenticationSchemes(CookieAuthenticationDefaults.AuthenticationScheme)
        .RequireAuthenticatedUser()
        .Build();
});

3. 调整站点宿主配置 #

修改项目launchSettings.json（或IIS站点认证配置），同时启用匿名认证和Windows认证，避免IIS层面对所有请求强制做Windows身份校验：

"iisSettings": {
  "windowsAuthentication": true,
  "anonymousAuthentication": true,
  // 其余配置保持不变
}

4. 新增独立的AD快捷登录接口 #

不自动读取全局Windows身份，仅当用户主动点击快捷登录按钮访问该接口时，才手动触发Windows认证校验，校验通过后签发标准Cookie：

[HttpGet]
[AllowAnonymous]
public async Task<IActionResult> WindowsQuickLogin()
{
    // 手动触发Windows认证协商
    var winAuthResult = await HttpContext.AuthenticateAsync(NegotiateDefaults.AuthenticationScheme);
    if (!winAuthResult.Succeeded)
    {
        // 未完成Windows身份校验时，返回协商挑战触发浏览器/系统的AD身份校验
        return Challenge(NegotiateDefaults.AuthenticationScheme);
    }

    // 提取Windows认证返回的域账号
    var adAccount = winAuthResult.Principal.Identity?.Name;
    if (string.IsNullOrWhiteSpace(adAccount))
    {
        return RedirectToAction(nameof(Login));
    }

    // 同步用户信息到数据库、生成身份声明，逻辑和账号密码登录一致
    var user = GetOrCreateUserByAdAccount(adAccount);
    var claims = new[] {
        new Claim(ClaimTypes.Name, user.Username),
        new Claim(ClaimTypes.Role, user.RoleId.ToString())
    };
    var identity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
    await HttpContext.SignInAsync(
        CookieAuthenticationDefaults.AuthenticationScheme,
        new ClaimsPrincipal(identity),
        new AuthenticationProperties { IsPersistent = false }
    );

    return RedirectToAction(nameof(Welcome));
}

5. 优化登出逻辑 #

登出时除了清除Cookie，同步清空当前请求上下文的残留身份，增加缓存控制头避免浏览器缓存受保护页面：

[HttpGet]
public async Task<IActionResult> Logout()
{
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    // 清空当前上下文的用户身份，避免残留Windows身份信息
    HttpContext.User = new ClaimsPrincipal(new ClaimsIdentity());
    // 增加禁用缓存头，防止回退时加载缓存的受保护页面
    Response.Headers["Cache-Control"] = "no-cache, no-store, must-revalidate";
    Response.Headers["Pragma"] = "no-cache";
    Response.Headers["Expires"] = "0";
    return RedirectToAction(nameof(Login));
}

调整完成后，只有用户主动访问AD快捷登录接口时才会使用当前设备Windows身份，登出清除Cookie后访问受保护接口会直接跳转到登录页，不会触发自动登录。 #

内容的提问来源于stack exchange，提问作者user14925447