Blazor Server IIS托管Windows认证同域PC访问无登录弹窗问题

你当前的配置缺了IIS承载层的认证规则配置、ASP.NET Core应用侧的强制认证逻辑，仅在项目属性中开启Windows Authentication开关，只对本地IIS Express调试生效，发布到正式IIS时不会自动同步对应配置。
本地访问能正常弹凭据、域内其他PC直接加载页面的核心原因是：你没有禁用匿名访问，IIS会优先允许匿名请求直达应用，应用侧又没有配置全局认证拦截，不会向客户端返回401挑战要求提供Windows凭据，自然不会弹出登录窗口。本地环回访问时浏览器的安全区域策略特殊，才会触发凭据提示，属于例外情况。

需补全的配置项 #

1. 补全web.config的安全配置段 #

你当前贴出的web.config完全缺失认证相关配置，在<system.webServer>节点下加入如下配置，强制禁用匿名认证、启用Windows认证：

<system.webServer>
  <!-- 新增以下security节点 -->
  <security>
    <authentication>
      <anonymousAuthentication enabled="false" />
      <windowsAuthentication enabled="true" authPersistNonNTLM="true">
        <providers>
          <add value="Negotiate" />
          <add value="NTLM" />
        </providers>
      </windowsAuthentication>
    </authentication>
  </security>
  <!-- 原有handlers和aspNetCore节点保持不变 -->
  <handlers>
    <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModuleV2" resourceType="Unspecified" />
  </handlers>
  <aspNetCore processPath="dotnet" arguments=".\WebApplication7.dll" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout" hostingModel="inprocess" />
</system.webServer>

2. 核对IIS站点的认证配置 #

• 打开服务器管理器，确认Web服务器（IIS）角色下已安装「Windows 身份验证」角色服务，未安装的话先安装后重启IIS
• 打开IIS管理器，定位到你的站点，双击「身份验证」功能，确认匿名身份验证为「已禁用」、Windows身份验证为「已启用」，和web.config配置保持一致
• 选中Windows身份验证，点击右侧「提供程序」，确认提供程序顺序为Negotiate在上、NTLM在下，不要添加其他无关提供程序

3. 补全ASP.NET Core应用侧的认证中间件 #

项目属性页的开关不会自动注入认证服务，需要手动在应用启动代码中添加配置：

• 首先给项目安装Microsoft.AspNetCore.Authentication.Negotiate NuGet包
• 在Program.cs中注册认证服务、启用中间件，顺序不能错乱：

// 在构建WebApplication实例前添加服务注册
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();
builder.Services.AddAuthorization(options =>
{
    // 配置全局认证策略，所有请求默认需要身份验证
    options.FallbackPolicy = options.DefaultPolicy;
});

var app = builder.Build();

// 其他中间件（如UseStaticFiles、UseRouting）保持原有顺序
// 在路由中间件之后、端点映射之前添加认证授权中间件
app.UseAuthentication();
app.UseAuthorization();

// 原有端点映射配置（MapControllers、MapRazorPages等）保持不变

额外说明 #

配置完成后如果域内客户端访问依然不弹框，属于客户端浏览器策略导致的正常现象：域内PC默认会把内网站点归入「本地Intranet」安全区域，该区域默认配置为「自动使用当前登录的域账号凭据登录」，不会弹出输入框。如果需要强制弹框，可修改客户端浏览器对应安全区域的登录选项为「提示输入用户名和密码」，该配置属于客户端侧设置，和服务端无关。

内容的提问来源于stack exchange，提问作者Mdarende