ASP.NET Core MVC下IIS自动认证授权失败时的跳转配置

好问题！IIS自动认证（底层基于Windows/Negotiate认证）默认对未授权用户返回401状态码，确实没有直接的services.Configure配置项能一键修改重定向逻辑，但我们可以通过自定义认证事件来搞定这个需求，步骤很简单：

1. 修改认证服务配置，添加挑战事件处理 #

把你原有的AddAuthentication代码替换为以下内容，通过配置Windows认证的OnChallenge事件来拦截挑战请求并重定向：

public void ConfigureServices(IServiceCollection services) {
    services.AddAuthentication(IISDefaults.AuthenticationScheme)
        .AddWindows(options =>
        {
            options.Events = new Microsoft.AspNetCore.Authentication.Negotiate.NegotiateEvents
            {
                OnChallenge = context =>
                {
                    // 重定向到你的匿名登录页，替换成实际的路由地址
                    context.Response.Redirect("/Account/Login");
                    // 标记事件已处理，阻止默认的401响应返回
                    context.HandleResponse();
                    return Task.CompletedTask;
                }
            };
        });

    services.Configure<CookiePolicyOptions>(options => {
        options.CheckConsentNeeded = context => true;
        options.MinimumSameSitePolicy = SameSiteMode.None;
    });

    services.Configure<IISServerOptions>(options => {
        options.AutomaticAuthentication = true;
    });

    services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);
}

2. 确保中间件顺序正确 #

在Configure方法中，要保证UseAuthentication和UseAuthorization的顺序正确（必须在UseMvc之前）：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseExceptionHandler("/Home/Error");
        app.UseHsts();
    }

    app.UseHttpsRedirection();
    app.UseStaticFiles();
    app.UseCookiePolicy();

    // 这两个中间件顺序不能错
    app.UseAuthentication();
    app.UseAuthorization();

    app.UseMvc(routes =>
    {
        routes.MapRoute(
            name: "default",
            template: "{controller=Home}/{action=Index}/{id?}");
    });
}

3. 关键注意事项 #

• 你的登录页必须标记[AllowAnonymous]特性，否则会陷入重定向循环（因为未授权用户被重定向到登录页，而登录页又要求授权）。
• 保持IISServerOptions.AutomaticAuthentication = true不变，这不会影响IIS自动认证的正常流程，我们只是修改了“未授权时的响应行为”。

这样配置后，当无AD授权的用户访问标记了[Authorize]的页面时，就会被自动重定向到你指定的登录页，而不是看到401错误。

内容的提问来源于stack exchange，提问作者alrightsure