远程托管Web应用如何实现SQL数据库Windows身份验证连接测试

纯服务端架构下没有直接实现的可能，核心原因和可行方案如下：

• 你当前使用的Integrated Security=True连接字符串，执行上下文是远程服务器上的Web服务进程，默认只会读取该进程对应的Windows身份凭据（通常是IIS应用池账号、服务器内置系统账号），既拿不到终端用户的Windows凭据，也没有网络权限直接访问用户个人设备上部署的SQL实例。
• 所有主流浏览器的沙箱安全机制，都禁止网页直接读取本地系统凭据、主动发起对本地非公开服务的TCP连接，不可能靠前端JavaScript直接完成本地SQL的连接测试，这类操作会被直接判定为安全风险拦截。

可落地的替代方案 #

• 开发轻量本地代理组件
  面向需要测试本地SQL连接的用户，提供一个体积很小的本地运行代理程序（可以是单文件控制台程序、轻量桌面工具），程序在用户本地设备运行时：
  • 自动继承当前登录用户的Windows身份上下文，不需要用户额外输入账号密码
  • 接收Web页面传入的连接参数（实例地址、数据库名、验证方式）
  • 在本地发起SQL连接测试，把连通结果、报错信息回传给Web端
    这是目前同类工具最常用的实现方式，不会触发浏览器安全限制，也能完美支持Windows身份验证模式连接用户本地的SQL实例。
• 做功能场景限制
  如果不想开发本地客户端，就直接对Windows身份验证模式做使用范围约束：仅当用户要连接的SQL实例部署在Web服务器可直达的信任网络内（比如和服务器同AD域的内网数据库），才开放该选项。这种场景下你可以给服务端配置Kerberos约束委派，用委派到的用户域身份连接同域内的SQL实例。但这个方案完全无法覆盖用户个人设备上的SQL——个人设备既不在你服务端的域信任体系里，公网路由也默认打不通。
• 明确功能提示
  如果坚持保留服务端发起连接的逻辑，必须在UI上做醒目标注：选择Windows身份验证时，是使用Web服务器自身的系统身份发起连接，仅支持给服务器账号授过权、服务器网络可直达的SQL实例，避免用户误以为会调用自己本地的身份凭据连接个人设备上的库。

额外注意：用户个人设备上安装的SQL Server默认大多开启了防火墙拦截、没有启用TCP/IP连接协议，就算解决了身份和路由问题，也大概率因为本地SQL的默认配置连不上，做功能时要把这类常见错误的排查提示补全。

内容的提问来源于stack exchange，提问作者Vijesh