ASP.NET Core同步控制器正常但异步控制器HttpContext.User.Identity.Name为空

一、问题可能出现的具体场景 #

• 控制器构造函数读取身份的时机错误：ASP.NET Core 控制器实例化发生在授权过滤器执行之前，而你使用的 NTLM/Negotiate Windows 认证需要多轮 HTTP 握手，新连接首次请求时，控制器构造函数执行时认证流程还未完成，HttpContext.User 尚未填充，你预存在构造函数字段里的 userName 自然为空。同步控制器能正常返回属于巧合：测试时使用的是已经完成认证的长连接，构造函数执行时身份刚好已经被填充。
• 异步上下文流动异常：如果 HeartbeatService.GetLatest() 方法内部使用了 .ConfigureAwait(false)，或者线程切换时未正确保留异步上下文，会导致 await 之后 HttpContextAccessor 无法获取到当前请求的上下文，Action 后续读取 HttpContext?.User 也会为空。
• HttpSys 认证配置冲突：你同时开启了 AllowAnonymous 和三种认证方案，部分客户端请求时 HttpSys 会优先返回匿名身份，而异步请求的处理流程中身份认领逻辑比同步慢，导致 [Authorize] 校验通过后 User 属性还未及时更新。
• Windows 服务权限问题：服务运行账号的权限不足，无法对部分域账号完成身份校验，同事的账号可能属于权限更高的域组，校验流程更长，刚好赶上构造函数取值的时间差。

二、可用排查工具 #

• 内置日志：在控制器构造函数、Action 入口、await 之后分别加日志输出 HttpContext.TraceIdentifier、User.Identity.IsAuthenticated、User.Identity.Name 的值，对比同步和异步请求的日志差异，确认身份丢失的阶段。
• 自定义中间件：在 UseAuthentication 之前和之后分别添加自定义中间件，记录每个请求的身份填充状态、请求路径、客户端 IP，确认身份丢失的中间件节点。
• 系统事件查看器：Windows 服务运行时的认证错误会记录在「Windows 日志→安全」节点中，可以查找对应请求时间的 NTLM/Kerberos 认证失败日志。
• dotnet-trace：微软官方的进程诊断工具，不需要 Set-ExecutionPolicy 权限，直接下载独立二进制包即可运行，可以捕获 ASP.NET Core 运行时的请求处理事件，查看认证阶段的耗时和执行顺序。
• 全局过滤器：添加全局 IActionFilter，在 OnActionExecuting 和 OnActionExecuted 阶段输出身份信息，确认 Action 执行前后身份的变化情况。

三、修复方案 #

1. 移除构造函数中读取身份的逻辑：不要在控制器构造函数中访问 HttpContext 或 User 属性，所有身份读取逻辑都放在 Action 方法内部，直接使用控制器基类自带的 User 属性即可，该属性是控制器实例化后由运行时动态赋值的，永远取最新的身份信息。
   修改后的异步 Action 示例：

[HttpGet]
public async Task<IActionResult> ShowProblem()
{
    var userName = User?.Identity?.Name;
    var heartbeats = await heartbeatService.GetLatest();
    logger.LogInformation("Issue reproduction", new { heartbeats });
    var currentUser = userName ?? HttpContext?.User.Identity?.Name;
    return Ok(new { currentUser, heartbeats.Data });
}

2. 检查 HeartbeatService.GetLatest() 方法，移除不必要的 .ConfigureAwait(false)，避免异步上下文丢失。
3. 调整中间件顺序，将 UseSwagger() 移到 UseRouting() 之前，避免静态文件请求触发不必要的认证流程。
4. 优化 HttpSys 配置，移除 AuthenticationSchemes.None，明确只开启需要的 NTLM 和 Negotiate 方案，避免匿名身份被错误填充。

内容的提问来源于stack exchange，提问作者Kofi Sarfo