IIS Windows身份验证问题：网站调用同服务器API返回401错误

你遇到的401错误核心是前端站点调用API时使用的身份不是预期的前端应用池标识，对应缺失的配置主要有以下几项： #

1. 前端站点身份模拟配置错误 #

如果前端站点开启了ASP.NET模拟（也就是web.config中system.web节点下配置了<identity impersonate="true" />），会导致前端进程在响应用户请求时，上下文切换为当前登录的终端用户身份，此时向后端API发起请求时用的是用户身份而非前端应用池标识，自然会被只允许应用池标识访问的后端API拒绝。

• 修复方式：打开前端站点的web.config，确认identity配置为：

<identity impersonate="false" />

• 如果是ASP.NET Core站点，确认Program.cs/Startup.cs中没有开启Windows模拟的相关中间件配置。

2. 前端请求API的认证逻辑配置缺失 #

默认情况下前端站点发起HTTP请求到后端API时，不会主动携带当前进程的Windows身份凭据，需要显式配置传递凭据：

• 如果是服务端调用（前端站点后端代码发起HTTP请求到API），以C#为例配置：

  var handler = new HttpClientHandler()
  {
      UseDefaultCredentials = true
  };
  var client = new HttpClient(handler);
  

• 如果是前端浏览器侧JS直接调用API：该场景本身不符合安全预期，浏览器调用会直接使用终端用户身份，不仅会触发401，还存在用户直接调用API的风险，必须改为前端站点的服务端代理转发API请求。

3. 后端API的授权规则配置遗漏 #

需要确认后端API的IIS授权规则确实正确添加了前端应用池标识的允许条目，且没有更靠前的拒绝规则覆盖：

• 打开IIS管理器→后端API站点→授权规则
• 确认存在允许用户条目，对象为前端应用池运行的身份（格式为IIS AppPool\你的前端应用池名称）
• 确认所有用户、匿名用户的拒绝规则优先级低于上述允许规则。

4. 应用池标识权限配置缺失 #

前端应用池的标识需要有正确的本地权限发起网络请求到后端API站点，如果两个站点部署在不同服务器上，还需要确认前端应用池使用的域账号没有被域策略限制，无法访问后端服务器的80/443端口。

5. 本地回环检查限制（前后端部署在同一台服务器时生效） #

如果两个站点部署在同一台Windows服务器上，且调用API用的是自定义域名而非localhost，Windows默认的回环检查机制会拦截本地发起的Windows身份认证请求，返回401错误。

• 修复方式：运行注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0，新建名为BackConnectionHostNames的多字符串值，值数据填写你访问API用的域名，每行一个，修改后重启IIS生效。

验证方式：可以在前端服务器上以应用池标识的身份运行浏览器，直接访问后端API地址，如果能正常返回内容，说明后端配置没问题，问题出在前端的身份传递配置；如果访问依然401，优先排查后端的授权规则配置。

内容的提问来源于stack exchange，提问作者Elyan Joumard