IIS8已启用匿名认证仍要求Windows凭据问题排查求助

我来梳理几个你还没覆盖到的排查点，毕竟你已经做了基础配置调整和重启，但仍出现认证冲突，大概率是存在缓存、配置继承或隐藏的冲突项：

• 检查配置继承与锁定
  有时候父级站点或服务器级别的认证设置会强制覆盖子应用的配置。你可以：

  1. 在IIS管理器中选中目标WebServices应用，右键打开配置编辑器，定位到system.webServer/security/authentication，确认overrideModeDefault值为Allow，确保子应用能独立修改认证设置。
  2. 打开applicationHost.config，检查父级location节点（比如服务器根节点或上层站点）的Windows认证配置是否设置了overrideMode="Deny"，如果有锁死配置，子应用的修改会被忽略。

• 彻底清除认证缓存
  单纯重启应用池可能不足以清除缓存：

  • 客户端：打开浏览器的Internet选项→内容→清除SSL状态；同时运行命令 rundll32.exe keymgr.dll,KRShowKeyMgr 删除已保存的Windows凭据。
  • 服务器：重启Windows Process Activation Service (WAS)，或者执行 iisreset /stop 等待几秒后再 iisreset /start，彻底重置IIS的配置缓存。

• 检查web.config的冲突节点
  确认<system.web>节点中是否存在<authentication mode="Windows" />配置，这是ASP.NET传统认证设置，可能和WCF的绑定配置冲突。如果有，修改为<authentication mode="None" />，确保和WCF的security mode="None"配置一致。

• 验证WCF端点的绑定引用
  你定义了CustomHttpBinding，但要确认服务端点确实引用了这个配置。检查web.config中的<services>节点，确保<endpoint>标签包含binding="basicHttpBinding" bindingConfiguration="CustomHttpBinding"，如果端点使用默认basicHttpBinding，会继承默认的带Windows认证的安全配置。

• 查看服务器事件日志
  打开事件查看器→Windows日志→应用程序，查找IIS、WAS或Web服务相关的错误/警告信息。可能存在配置加载失败（比如节点格式错误），导致实际生效的配置并非你所设置的内容。

• 排查URL重写或第三方模块
  如果站点配置了URL重写规则或安装了第三方IIS模块（如安全拦截模块），这些组件可能会强制修改认证头，将匿名请求转为需要Windows认证的请求。可以临时禁用这些模块/规则，测试是否恢复正常。

• 抓包分析请求响应
  使用Fiddler或浏览器开发者工具抓包，查看：

  • 客户端请求头的Authorization字段是否为匿名
  • 服务器响应的WWW-Authenticate头是否仍返回Negotiate,NTLM，同时确认是否是某个子资源（如静态文件）触发了认证要求，而非Web服务本身。

内容的提问来源于stack exchange，提问作者erik