Windows身份验证下使用子域名访问Web应用报未授权错误的解决方法

这个问题的核心矛盾是：Web.config中的用户授权规则仅作用于已完成身份认证的请求，无法干预认证流程本身的凭据传递逻辑，因此调整allow/deny规则无法解决问题。本质上这类问题是Windows集成认证（NTLM/Kerberos）的Host头校验、浏览器凭据传递限制导致的，需要分别从服务端、客户端做对应配置调整：

服务端侧配置（IIS + ASP.NET） #

• 调整Windows身份验证的内核模式配置：打开IIS中对应Web应用的「身份验证」模块，选中「Windows身份验证」，进入高级设置页，取消勾选「启用内核模式身份验证」。内核模式认证默认会严格匹配请求Host头与站点默认绑定的主机名，当请求Host为abc.localhost和站点默认绑定的localhost不一致时，内核层会直接丢弃携带认证凭据的请求，导致服务端无法识别传入的登录信息。
• 调整认证提供程序排序：进入Windows身份验证的「提供程序」配置页，将NTLM调整到Kerberos排序的最上方。本地测试环境无域控支撑Kerberos的SPN校验，强依赖Kerberos会直接导致认证流程失败。
• 补充IIS站点主机头绑定：在站点绑定列表中新增主机名匹配abc.localhost的HTTP绑定，不要仅保留默认的localhost主机头绑定，避免IIS因Host头不匹配直接返回未授权，跳过认证流程。
• 确认Web.config配置逻辑：保留你当前设置的<allow users="*" />、<deny users="?" />规则即可，该规则在认证流程正常打通后会正常生效，无需额外调整。

客户端侧配置（浏览器） #

• 将http://*.localhost加入浏览器可信站点列表：打开Internet选项的安全面板，进入可信站点的配置页，把通配的localhost域加入可信站点范围。
• 修改可信站点的凭据传递策略：在可信站点区域的自定义安全级别中，找到「用户登录」分类，选择**「自动使用当前用户名和密码登录」**，放开浏览器对该域的凭据传递限制，避免浏览器拦截自动附带的Windows登录凭据。
• 针对Chromium内核的Edge/Chrome浏览器，需要额外添加启动参数--auth-server-allowlist="*.localhost"，避免浏览器默认拦截跨子域的NTLM认证请求。

内容的提问来源于stack exchange，提问作者Ravi KK