ASP.NET Core 6如何配置Windows认证仅允许指定域组用户访问

DevOps 小满

2026-8-29

问题

我在开发ASP.NET Core应用时发现，可通过在launchSettings.json文件中启用windowsAuthentication参数为应用开启Windows认证，相关配置如下：

"iisSettings": {
  "windowsAuthentication": true,
  "anonymousAuthentication": false,
  "iisExpress": {
    // ...
  }
}

是否存在简便方式收紧认证权限规则，仅允许所属域内特定用户组的账号访问应用？此前曾手动实现过该逻辑，想了解.NET 6是否原生支持该功能。

补充说明

预想的实现思路如下（以下为思路示意，并非可直接运行的有效代码）：

app.UseRouting();

app.Use(async (context, next) =>
{
    if (userBelongsToGroup(@"MySuperGroup"))
    {
        await next();
    }
    else
    {
        context.Response.StatusCode = 401;
        return;
    }
});

app.UseAuthorization();

回答

.NET 6原生支持该需求，不需要手动编写自定义中间件做权限判断，直接使用框架内置的Windows认证+授权策略即可实现，稳定性更高，也符合HTTP状态码规范。

前置配置

首先确保项目已引入认证相关依赖，在Program.cs中注册服务时添加Windows认证和授权服务：

// 引入对应命名空间：using Microsoft.AspNetCore.Server.IISIntegration;
builder.Services.AddAuthentication(IISDefaults.AuthenticationScheme);
builder.Services.AddAuthorization();

如果是非IIS托管场景，需要引入Microsoft.AspNetCore.Authentication.Negotiate包，使用Negotiate认证方案即可。

场景1：全局限制仅指定域组可访问

直接配置默认授权策略+兜底策略，所有未单独标注权限的接口都会自动校验用户是否属于目标组，无需额外加特性：

builder.Services.AddAuthorization(options =>
{
    options.DefaultPolicy = options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        // 替换为实际的 域名\用户组名，本地组格式为 机器名\组名
        .RequireRole(@"YOURDOMAIN\MySuperGroup")
        // 如需多组任意一个即可访问，直接传多个参数即可：.RequireRole(@"域\组1", @"域\组2")
        .Build();
});

中间件顺序按如下配置即可，注意不要漏了UseAuthentication中间件，必须放在UseAuthorization之前，你之前的示例代码漏了这一步：

app.UseHttpsRedirection();
app.UseRouting();

// 认证中间件必须加
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();
// 其他端点映射配置

配置完成后，未登录用户会自动返回401状态码，已登录但不在指定用户组的用户会自动返回403状态码，不需要手动处理响应。

场景2：仅对部分接口/控制器做组权限限制

如果不需要全局生效，不需要配置全局策略，直接在需要限制的控制器或接口方法上添加Authorize特性指定角色即可：

// 作用于整个控制器下所有接口
[Authorize(Roles = @"YOURDOMAIN\MySuperGroup")]
[ApiController]
[Route("api/[controller]")]
public class BusinessController : ControllerBase
{
    [HttpGet]
    public IActionResult GetData() => Ok();
}

public class PublicController : ControllerBase
{
    // 仅作用于单个接口
    [HttpGet("sensitive")]
    [Authorize(Roles = @"YOURDOMAIN\MySuperGroup")]
    public IActionResult GetSensitiveData() => Ok();

    // 不加特性的接口允许所有认证用户访问
    [HttpGet("public")]
    public IActionResult GetPublicData() => Ok();
}

注意事项

launchSettings.json中的配置仅对本地IIS Express调试生效，部署到IIS时需要手动在IIS站点功能中开启Windows认证、按需关闭匿名认证。
填写用户组名时必须带域/机器名前缀，仅写组名会导致身份校验匹配失败。
手动写中间件的逻辑虽然能跑通，但框架内置的授权组件已经处理了身份解析、权限缓存、状态码返回、中间件顺序兼容等边界问题，不建议重复实现。

内容的提问来源于stack exchange，提问作者LA.27