WinForm 中使用 WebView2 实现支持IWA的内网Web应用SSO自动登录

WebView2 底层基于 Edge Chromium 内核，本身原生支持透传当前Windows用户的系统凭据完成IWA（NTLM/Kerberos）认证，不需要自行抓取、注入Windows用户凭据，只要对齐配置即可，具体步骤如下：

基础环境校验 #

• 确保WebView2初始化时绑定的是当前Windows用户专属的用户数据目录（UserDataFolder），不要使用全局共享、临时匿名目录（很多开发者图省事把数据目录设成程序安装目录下的公共文件夹，会直接隔离用户的凭据上下文，导致SSO失效）。对应的参考初始化代码：

// 绑定当前用户LocalAppData下的专属数据目录，不要用临时目录
var userDataPath = Path.Combine(
    Environment.GetFolderPath(Environment.SpecialFolder.LocalApplicationData),
    "你的应用程序名",
    "WebView2RuntimeData");
var env = await CoreWebView2Environment.CreateAsync(
    browserExecutableFolder: null,
    userDataFolder: userDataPath,
    options: new CoreWebView2EnvironmentOptions());

• 检查WebView2的启动参数，不要添加会关闭SSO能力的配置，比如--disable-features=msWebView2EnableSSO这类参数，默认配置下SSO能力是开启的。

核心安全区域配置（90%场景的失效原因） #

Windows系统的IWA默认仅对本地Intranet安全区域的站点自动发送当前用户凭据，不会主动对互联网区域、受限制区域发送凭据，必须完成以下配置：

• 打开Windows Internet属性 -> 安全Tab -> 本地Intranet -> 站点配置，将所有内网Web应用的域名（如*.your-corp.com）、内网IP段添加到区域白名单，同时勾选“自动检测Intranet网络”选项。
• 进入本地Intranet区域的自定义安全级别，将“用户登录”选项设置为自动使用当前用户名和密码登录，不要设置为“每次都提示输入凭据”，否则即使站点在Intranet区域，也会弹出凭据输入框。

如果是企业AD域环境，上述配置通常会通过组策略自动下发，无需手动调整；非域环境下需要手动配置一次即可永久生效。

WebView2 专属白名单配置 #

如果系统层面的安全区域配置没有覆盖所有内网站点，可以通过WebView2的启动参数显式指定允许透传凭据的站点范围，避免被浏览器的安全拦截规则阻断：

• 在WebView2环境初始化的参数中，添加允许的认证站点白名单，参考代码：

// 显式指定允许透传NTLM/Kerberos凭据的内网站点范围
var authConfigParams = "--auth-server-allowlist=\"*.your-corp.com,192.168.*.*\" " +
                       "--auth-negotiate-delegate-allowlist=\"*.your-corp.com,192.168.*.*\"";
var envOptions = new CoreWebView2EnvironmentOptions(authConfigParams);

常见踩坑排查 #

• 不要在WebResourceRequested事件中拦截、篡改带WWW-Authenticate头部的IWA协商请求，这类拦截会直接打乱内核自带的认证协商流程，导致认证反复失败。
• 如果内网站点使用Kerberos认证，只要当前Windows用户已经成功获取域TGT票据（你的客户端已经实现Windows自动登录，说明该环节正常），WebView2会自动完成Kerberos票据交换，不需要额外编码处理。
• 不要开启过于严格的第三方Cookie拦截规则，IWA协商过程依赖同站上下文Cookie，被拦截会导致认证流程中断。

注：上述配置生效后，WebView2导航到内网IWA站点时，会自动通过Windows集成认证完成登录，全程无弹窗。

内容的提问来源于stack exchange，提问作者pete757