Angular调用Windows认证的.NET Core API出现401未授权问题

看起来你碰到了Windows认证场景下，.NET Core API和Angular交互时PUT/POST请求失败的典型问题，结合你的代码和描述，我整理了几个关键排查点和解决办法：

1. 优先解决CORS预检请求（OPTIONS）被拦截的问题 #

PUT/POST这类非简单请求会触发浏览器自动发送OPTIONS预检请求，而Windows认证默认会在管道早期拦截未携带凭据的OPTIONS请求——这也是你加了[AllowAnonymous]却没用的核心原因，因为预检请求根本没走到你的控制器逻辑。

你需要在.NET Core的Startup中配置允许OPTIONS请求匿名通过，同时调整认证策略：

修改ConfigureServices代码 #

// 配置Windows认证（IIS托管用下面这个，Kestrel用Negotiate）
services.AddAuthentication(IISDefaults.AuthenticationScheme);
// Kestrel环境替换为：
// services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
//    .AddNegotiate();

// 配置授权策略，允许OPTIONS请求匿名
services.AddAuthorization(options =>
{
    // 默认策略要求认证用户
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
    // 新增策略：允许OPTIONS请求匿名
    options.AddPolicy("AllowAnonymousOptions", policy =>
    {
        policy.RequireAssertion(context =>
            context.Request.Method == HttpMethod.Options.Method);
    });
});

在Configure中添加OPTIONS请求拦截逻辑（放在UseAuthorization之前） #

app.Use(async (context, next) =>
{
    if (context.Request.Method == HttpMethod.Options.Method)
    {
        context.Response.StatusCode = StatusCodes.Status200OK;
        await context.Response.CompleteAsync();
        return;
    }
    await next();
});

另外，你的CORS策略存在冲突：AllowAnyOrigin和AllowCredentials不能同时使用（浏览器会直接阻止这种配置），必须指定具体的Angular域名：

options.AddPolicy("SpecificOrigin", builder => {
    builder.WithOrigins("http://localhost:4200") // 替换成你的Angular实际运行地址
           .AllowAnyMethod()
           .AllowAnyHeader()
           .AllowCredentials();
});

然后修改app.UseCors("SpecificOrigin");即可。

2. 关于[AllowAnonymous]不生效的补充说明 #

如果你的API全局启用了认证（比如上面配置的FallbackPolicy），[AllowAnonymous]需要确保正确应用在控制器或方法上。但更关键的是Windows认证的底层拦截逻辑——它会在MVC管道之前就校验凭据，所以必须先解决OPTIONS请求的问题，才能让后续的PUT/POST请求正常到达控制器。

3. Postman测试Windows认证的正确方式 #

Postman默认不会自动携带Windows凭据，你需要手动配置：

• 打开请求的Authorization标签页
• 选择Type为Windows Authentication（或NTLM Authentication）
• 填写你的Windows登录账号和密码（本地运行的话，用当前系统登录账号即可）
  这样才能正常测试PUT/POST请求。

4. Swagger"连接不私密"问题的处理 #

这个是HTTPS证书信任问题，和认证无关：
如果你用的是.NET Core自带的开发证书，可以直接在浏览器访问API的HTTP地址（比如http://localhost:5000），跳转HTTPS时点击「高级」->「继续访问」，或者手动将开发证书导入系统信任列表。

5. Angular代码的小问题修正 #

你的loginToApplication方法中，subscribe的写法有误：

// 错误写法：console.log会直接执行，不是请求成功后执行
this.authService.updateUser(...).subscribe( console.log("enter"))

应该改成回调形式，才能看到请求的成功/错误日志：

this.authService.updateUser(e["id"],lastLogin,e["ac"],e["lastLogoff"],e["picture"])
  .subscribe(
    () => console.log("请求成功"),
    error => console.error("请求失败：", error)
  );

最后建议你先通过Postman配置好Windows认证，确认API的PUT接口本身能正常工作，再调试Angular端的请求，这样能快速区分是API还是前端的问题。

内容的提问来源于stack exchange，提问作者user10863293