ASP.NET项目部署IIS后无法从AD获取登录用户邮箱报错求助

报错原因 #

UserPrincipal.Current在IIS环境下，当应用程序池身份配置为内置账户（如NETWORK SERVICE、IIS APPPOOL\默认池名称）或者匿名身份验证开启时，会优先识别到AD组身份而非当前登录的用户身份，触发类型转换错误。本地调试时默认使用当前Windows用户身份运行，因此不会触发该问题。

解决方案 #

1. 调整IIS身份验证配置 #

• 打开IIS管理器，定位到部署的站点，点击「身份验证」功能
• 禁用「匿名身份验证」，启用「Windows身份验证」
• 打开站点对应的应用程序池「高级设置」，将「进程模型」下的「标识」修改为有权限查询AD域的域账户，不要使用内置本地账户

2. 优化代码逻辑，增加类型校验 #

不要直接调用UserPrincipal.Current，先做类型判断，避免强转报错，修改后代码如下：

using System.DirectoryServices.AccountManagement;

// 先获取当前Principal对象再做类型判断
Principal currentPrincipal = Principal.Current;
string fmail = string.Empty;
if (currentPrincipal is UserPrincipal userPrincipal)
{
    fmail = userPrincipal.EmailAddress;
}

3. 可选兜底方案（如果仍取不到当前用户） #

如果上述配置后还是无法获取到登录的用户身份，可以通过HttpContext获取当前请求的用户身份后再查询AD：

using System.DirectoryServices.AccountManagement;
using System.Web;

string userName = HttpContext.Current.User.Identity.Name;
string fmail = string.Empty;
using (PrincipalContext context = new PrincipalContext(ContextType.Domain))
{
    UserPrincipal user = UserPrincipal.FindByIdentity(context, userName);
    if (user != null)
    {
        fmail = user.EmailAddress;
    }
}

内容的提问来源于stack exchange，提问作者Arun Ezhil