如何配置IIS Windows身份验证用当前用户凭据自动登录

浏览器弹出凭据输入框的核心原因是IIS返回的401认证质询没有触发客户端的自动凭据传递逻辑，所有配置均在服务端完成，不需要调整任何客户端浏览器项：

• 第一步：修正IIS身份验证核心配置
  打开IIS管理器定位到目标站点，进入「身份验证」配置面板：
  • 禁用匿名身份验证，禁用表单身份验证、ASP.NET模拟（无特殊模拟需求的场景）
  • 启用Windows身份验证，选中该项后点击右侧操作栏的「高级设置」：
    • 勾选「启用内核模式身份验证」，该选项通过HTTP.sys内核态组件处理认证流程，能避免用户态进程多轮质询触发弹框
    • 「扩展保护」选择「接受」或「关闭」，不要选「必须」，部分旧版Windows客户端不支持扩展保护时会强制弹框
  • 点击Windows身份验证配置项里的「提供程序」，确保Negotiate排在NTLM前面，优先用Kerberos协议认证，减少认证轮次
• 第二步：修正应用web.config配置，避免配置覆盖IIS设置
  打开应用根目录的web.config，替换或补充以下节点配置，确保无冲突项：

  <system.web>
    <authentication mode="Windows" />
    <authorization>
      <deny users="?" /> <!-- 拦截所有匿名请求，强制走Windows认证 -->
    </authorization>
    <identity impersonate="false" /> <!-- 无特殊需求不要开模拟，避免凭据跳转异常 -->
    <httpRuntime targetFramework="你的项目实际.NET Framework版本，比如4.8" />
  </system.web>
  
  <system.webServer>
    <security>
      <authentication>
        <anonymousAuthentication enabled="false" />
        <windowsAuthentication enabled="true" useKernelMode="true" useAppPoolCredentials="false">
          <providers>
            <add value="Negotiate" />
            <add value="NTLM" />
          </providers>
        </windowsAuthentication>
      </authentication>
    </security>
  </system.webServer>
  

• 第三步：修正应用程序池与访问绑定配置
  • 站点对应应用程序池选择集成模式托管管道，.NET CLR版本匹配项目所用的.NET Framework版本（4.x项目选v4.0.30319，3.5及以下旧项目选v2.0.50727），不要用经典模式，经典模式的旧ISAPI管道容易产生多轮401响应触发弹框
  • 站点不要绑定IP直接访问，也不要用非标准端口（非80/443）对外提供服务，在内网DNS服务器上添加指向站点服务器的短域名/AD域名解析（比如http://erp、http://oa.corp.com这类内网域名），给站点绑定对应域名。所有Windows系统默认的安全区域规则会自动将不带点的短主机名、AD域内域名划分到「本地Intranet」区域，该区域默认配置就是自动传递当前登录用户的Windows凭据，完全不需要手动修改客户端浏览器设置。如果用IP、公网风格的多点域名或者非标准端口访问，客户端默认会将站点归到Internet区域，该区域默认不自动传递凭据，必然弹框。
• 常见弹框问题排查
  • 检查站点下的静态资源目录、子应用是否单独配置了错误的身份验证规则，比如静态资源目录开启了拒绝匿名但没正确开启Windows认证，会导致加载资源时返回401弹框
  • 如果客户端和服务器不在同一个AD域，要确保客户端当前登录的Windows账号在服务器本地用户组存在，且账号密码完全一致，否则凭据校验失败会触发弹框
  • 配置好站点默认文档，关闭目录浏览功能，避免访问无默认文档的目录时触发认证弹框

内容的提问来源于stack exchange，提问作者Mateusz Zawojski