.NET中NetworkCredential含非ASCII字符认证401错误解决问询

你遇到的异常本质是.NET Framework内置的Basic认证逻辑默认使用ASCII编码处理用户名:密码格式的拼接字符串，非ASCII字符会被替换为无效占位符，最终导致Base64编码后的Authorization头校验失败，返回401状态码。该行为在目前所有发行的.NET Framework版本中均为默认配置。

以下两种方案均可保留NetworkCredential对NTLM、Kerberos认证的原生支持，仅修复Basic认证场景下的非ASCII字符兼容问题：

方案1：修改全局配置（无业务代码侵入，推荐） #

在项目的app.config（桌面端）或web.config（服务端）中添加如下配置，将Basic认证的默认编码修改为UTF-8：

<configuration>
  <appSettings>
    <add key="System.Net.Authentication.BasicEncodingPolicy" value="UTF8" />
  </appSettings>
</configuration>

该配置对.NET Framework 4.0及以上版本生效，修改后原业务代码无需任何调整，NetworkCredential处理Basic认证时会自动使用UTF-8编码，非ASCII字符可正常解析，同时NTLM、Kerberos的认证逻辑完全不受影响。

方案2：手动兼容Basic认证（无需修改全局配置） #

如果不希望修改全局配置，可以在请求返回401时判断认证类型，仅对Basic认证场景手动构造UTF-8编码的Authorization头，其他认证类型仍走NetworkCredential的原生逻辑，示例代码如下：

HttpWebRequest req = (HttpWebRequest)WebRequest.Create("你的请求地址");
req.Method = "POST";
// 保留NetworkCredential供NTLM/Kerberos认证使用
NetworkCredential credential = new NetworkCredential("José", "password");
req.Credentials = credential;

try
{
    using (Stream s = req.GetRequestStream())
    {
        byte[] data = new byte[128];
        new Random().NextBytes(data);
        s.Write(data, 0, data.Length);
    }
    using (HttpWebResponse resp = (HttpWebResponse)req.GetResponse())
    {
        // 处理正常响应逻辑
    }
}
catch (WebException ex)
{
    if (ex.Response is HttpWebResponse { StatusCode: HttpStatusCode.Unauthorized } unauthorizedResp)
    {
        string wwwAuthHeader = unauthorizedResp.Headers[HttpResponseHeader.WwwAuthenticate];
        // 仅当服务端要求Basic认证时手动构造请求头重试
        if (!string.IsNullOrEmpty(wwwAuthHeader) && wwwAuthHeader.StartsWith("Basic", StringComparison.OrdinalIgnoreCase))
        {
            string authContent = $"{credential.UserName}:{credential.Password}";
            string base64Auth = Convert.ToBase64String(Encoding.UTF8.GetBytes(authContent));
            
            // 构造重试请求，参数与原请求保持一致
            HttpWebRequest retryReq = (HttpWebRequest)WebRequest.Create("你的请求地址");
            retryReq.Method = "POST";
            retryReq.Headers[HttpRequestHeader.Authorization] = $"Basic {base64Auth}";
            using (Stream s = retryReq.GetRequestStream())
            {
                byte[] data = new byte[128];
                new Random().NextBytes(data);
                s.Write(data, 0, data.Length);
            }
            using (HttpWebResponse retryResp = (HttpWebResponse)retryReq.GetResponse())
            {
                // 处理重试后的响应逻辑
            }
        }
        else
        {
            // 非Basic认证场景抛出原有异常，由原生逻辑处理
            throw;
        }
    }
}

• 两种方案均要求服务端支持UTF-8编码的Basic认证，该规则符合RFC7617标准，目前绝大多数现代服务端均默认支持。
• 两种方案都不会改动NetworkCredential对NTLM、Kerberos认证的处理逻辑，原有相关功能可正常使用。

内容的提问来源于stack exchange，提问作者kibitzerCZ