IIS部署IISNode应用返回401时反复弹出Windows凭据提示问题

弹窗触发的核心逻辑是：只要浏览器收到的401响应携带WWW-Authenticate: NTLM/WWW-Authenticate: Negotiate头，就会自动弹出Windows凭据输入框。
你遇到的场景里，SPA内部路由跳转时的API请求会携带本地存储的Refresh Token，后端识别到有效Refresh Token后会直接完成JWT续期，不会返回带Windows认证质询头的401，因此不会弹窗。但整页刷新时：

1. 页面初始化阶段如果本地JWT、Refresh Token都已过期，前端发起的首批业务请求没有携带有效认证凭证
2. 你当前是全站点同时开启匿名+Windows认证，IIS或NestJS处理这类无有效凭证的请求返回401时，会自动带上Windows认证的质询头
3. 浏览器识别到该响应头就会触发凭据弹窗，和你之前做的环回检查、参数调优没有直接关联。

核心思路是把Windows认证的触发边界收窄到单一专用接口，禁止其他所有路径返回带Windows质询头的401响应，从根源上避免误弹窗。

1. 拆分IIS站点认证配置 #

不要在站点全局开启Windows认证，只给专门用于Windows身份核验的接口（比如/api/auth/win-login）开启Windows认证，其余所有路径（静态资源、SPA路由、业务API）仅开启匿名认证。
直接在站点根目录web.config中按路径单独配置认证规则，参考配置如下：

<configuration>
  <!-- 仅Windows身份核验接口开启Windows认证，关闭匿名访问 -->
  <location path="api/auth/win-login">
    <system.webServer>
      <security>
        <authentication>
          <anonymousAuthentication enabled="false" />
          <windowsAuthentication enabled="true" useKernelMode="false">
            <providers>
              <!-- 优先用Negotiate做Kerberos认证，减少弹窗概率 -->
              <add value="Negotiate" />
              <add value="NTLM" />
            </providers>
          </windowsAuthentication>
        </authentication>
      </security>
    </system.webServer>
  </location>
  <!-- 其余所有路径仅开匿名认证 -->
  <location path=".">
    <system.webServer>
      <security>
        <authentication>
          <anonymousAuthentication enabled="true" />
          <windowsAuthentication enabled="false" />
        </authentication>
      </security>
      <iisnode watchedFiles="web.config;*.js" />
      <handlers>
        <add name="iisnode" path="dist/main.js" verb="*" modules="iisnode" />
      </handlers>
      <rewrite>
        <rules>
          <!-- SPA路由重写规则 -->
          <rule name="SPA Route" stopProcessing="true">
            <match url=".*" />
            <conditions logicalGrouping="MatchAll">
              <add input="{REQUEST_FILENAME}" matchType="IsFile" negate="true" />
              <add input="{REQUEST_FILENAME}" matchType="IsDirectory" negate="true" />
              <add input="{REQUEST_URI}" pattern="^/api/" negate="true" />
            </conditions>
            <action type="Rewrite" url="/index.html" />
          </rule>
        </rules>
      </rewrite>
    </system.webServer>
  </location>
</configuration>

2. 后端统一处理401响应头 #

在NestJS的全局异常过滤器中做特殊处理：

• 所有非/api/auth/win-login路径返回401时，强制删除响应头中的WWW-Authenticate: NTLM/Negotiate，仅返回标准JWT认证质询头WWW-Authenticate: Bearer error="invalid_token"
• /api/auth/win-login接口逻辑：拿到IIS传递过来的当前Windows用户身份后，直接签发新的JWT和Refresh Token返回给前端，不需要做额外的登录校验

3. 前端补全整页刷新的认证逻辑 #

修改React应用的初始化逻辑和全局请求拦截逻辑：

• 整页刷新时，先校验本地存储的Refresh Token有效性：如果Refresh Token有效，走正常的JWT续期流程后再加载页面、发起业务请求
• 如果Refresh Token已失效，不要直接发起业务请求，先携带跨域凭证（credentials: 'include'）静默请求/api/auth/win-login接口。同域场景下浏览器会自动携带当前登录用户的Windows Kerberos/NTLM票据，用户无感知就能完成身份核验、拿到新的Token，不会触发弹窗
• 全局请求拦截器遇到401时，优先走Refresh Token续期流程；如果Refresh Token失效，就静默调用win-login接口续期后重放失败请求；只有win-login接口返回401（代表用户本身没有站点访问权限）时，才引导用户输入凭据或跳转到无权限页

4. 可选优化 #

如果你的应用池使用自定义服务账号运行，需要在域控中给该账号注册对应SPN，避免Kerberos认证降级为NTLM导致的弹窗问题。

• 禁用环回检查仅解决服务器本地回环访问时的凭据循环问题，无法解决正常跨请求的质询头触发弹窗问题
• 全站点同时开启匿名+Windows认证时，IIS会在匿名请求被拒绝时自动追加Windows认证质询头，只要401响应从根路径返回就会触发弹窗
• 未收窄认证边界的前提下调整IIS参数，无法触及问题核心。

按照上述配置后，正常有权限的域用户访问站点时，全程不会触发凭据弹窗，仅当用户本身没有站点访问权限时才会弹出凭据输入框，完全符合预期，不需要设置永不过期的JWT。

内容的提问来源于stack exchange，提问作者Kirian CAUMES