ASP.NET Core如何同时支持Windows AD自动认证和用户名密码登录

核心原理 #

浏览器弹出系统级Windows登录框的根本原因是：服务端返回401状态码时，响应头携带了WWW-Authenticate: Negotiate, NTLM字段。只要我们在Windows认证失败时移除该响应头，再重定向到自定义登录页，即可避免弹窗。

前置配置 #

首先确保IIS/IIS Express同时开启Windows认证和匿名认证，服务端注册双认证方案：

// Program.cs / Startup.cs 服务注册
services.AddAuthentication()
    .AddNegotiate() // Windows AD认证，若用IIS集成模式可替换为IISDefaults.AuthenticationScheme
    .AddCookie("FormAuth", opt =>
    {
        opt.LoginPath = "/Account/Login";
        opt.AccessDeniedPath = "/Account/AccessDenied";
    });

// 关闭自动Windows认证，改为按需触发
services.Configure<IISOptions>(opt =>
{
    opt.AutomaticAuthentication = false;
    opt.ForwardWindowsAuthToken = true;
});

实现按需认证逻辑 #

通过自定义中间件优先尝试Windows静默认证，认证失败直接跳表单登录页：

// 中间件注册需放在路由、认证中间件之前
app.Use(async (context, next) =>
{
    // 已认证的请求直接放行
    if (context.User.Identity.IsAuthenticated)
    {
        await next();
        return;
    }

    // 可选优化：仅内网IP尝试Windows认证，外网IP直接跳登录
    var clientIp = context.Connection.RemoteIpAddress;
    var innerIpRanges = new[] { "192.168.0.0/16", "10.0.0.0/8" };
    bool isInnerIp = innerIpRanges.Any(range => IPAddress.Parse(range).Contains(clientIp));
    if (!isInnerIp)
    {
        context.Response.Redirect($"/Account/Login?returnUrl={Uri.EscapeDataString(context.Request.Path + context.Request.QueryString)}");
        return;
    }

    // 尝试Windows静默认证
    var authResult = await context.AuthenticateAsync(IISDefaults.AuthenticationScheme);
    if (authResult.Succeeded)
    {
        context.User = authResult.Principal;
        // 此处可扩展：匹配域账号和数据库用户信息，签发表单Cookie实现持久登录
        await next();
        return;
    }

    // 认证失败，移除触发弹窗的响应头，跳转到自定义登录页
    context.Response.Headers.Remove("WWW-Authenticate");
    context.Response.Redirect($"/Account/Login?returnUrl={Uri.EscapeDataString(context.Request.Path + context.Request.QueryString)}");
});

额外注意事项 #

• 若使用IIS托管，需将站点Windows认证的「扩展保护」设置为允许或关闭，避免外部访问时强制触发认证弹窗
• 针对AJAX接口请求，可单独判断请求头X-Requested-With: XMLHttpRequest，不做重定向，直接返回401状态码由前端处理登录跳转

内容的提问来源于stack exchange，提问作者Scott