Blazor Server调用同站点Windows身份验证Web API时返回401 Unauthorized

你遇到的报错：

"Error: System.Net.Http.HttpRequestException: Response status code does not indicate success: 401 (Unauthorized)."

首先要纠正一个认知偏差：你的场景里根本不存在浏览器同源策略拦截的问题。Blazor Server的组件逻辑运行在IIS托管的服务端进程中，代码里调用GetFromJsonAsync是服务端进程主动发起的出站HTTP请求，整个请求链路不经过浏览器，自然不受浏览器同源规则约束。

实际触发401的根本原因有两个：

• 你当前配置的HttpClient使用静态缓存的硬编码凭据，没有和当前访问Blazor应用的登录用户的Windows身份绑定，发出的请求携带的凭据无法通过API端的Windows认证校验
• IIS端默认的Windows认证委托规则不允许Blazor应用的服务端进程，把当前登录用户的身份凭据转发给同站点下的API应用，属于典型的Windows认证双跳权限不足问题

1. 修正服务端HttpClient的凭据绑定逻辑 #

之前的注册方式使用静态凭据，完全脱离了当前请求的用户上下文，需要调整为和当前请求作用域绑定，自动携带登录用户的有效Windows凭据：
首先在服务注册阶段先注入HttpContext访问能力，再基于当前请求的身份构建HttpClientHandler：

public void ConfigureServices(IServiceCollection services)
{
    // 必须先注册HttpContext访问器，用来获取当前请求的用户身份
    services.AddHttpContextAccessor();

    // 替换原有静态凭据的HttpClient注册逻辑
    services.AddScoped(sp =>
    {
        // 从当前请求作用域取出HttpContext
        var httpContext = sp.GetRequiredService<IHttpContextAccessor>().HttpContext;
        
        // 关键：不使用静态硬编码凭据，将当前登录用户的Windows身份附加到请求中
        var handler = new HttpClientHandler
        {
            UseDefaultCredentials = false,
            // 自动取当前请求对应的用户Windows凭据，无登录上下文时使用应用池身份兜底
            Credentials = httpContext?.User?.Identity?.IsAuthenticated == true 
                ? CredentialCache.DefaultCredentials 
                : CredentialCache.DefaultNetworkCredentials,
            PreAuthenticate = true,
            AllowAutoRedirect = true
        };

        var httpClient = new HttpClient(handler, disposeHandler: false)
        {
            BaseAddress = new Uri(Config.BaseUrl)
        };
        // 保留原有必要的请求头配置
        httpClient.DefaultRequestHeaders.Add("User-Agent", "MEC2SIGRE Dashboard");
        httpClient.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
        
        return httpClient;
    });

    services.AddScoped<MECDashBoardDataService>();
}

2. 配套调整IIS端的Windows认证配置 #

你现有截图里的基础认证配置思路是对的：保持Blazor应用和API应用全部关闭匿名认证、仅开启Windows认证的生产安全配置不变，仅做以下调整打通双跳认证链路：

• 分别进入Blazor应用、API应用的IIS配置页，打开「Windows Authentication」的高级设置，将「扩展保护」设置为接受，不要设置为“必需”，避免同站点跨应用请求被安全规则拦截
• 为Blazor应用对应的IIS应用池开启「加载用户配置文件」，应用池的托管管道模式保持为集成模式
• 为运行应用池的服务账号配置约束委托权限，允许其向同服务器下的API应用的SPN转发当前用户的Windows身份，解决双跳场景下的凭据传递问题

3. 排除无效操作的干扰 #

你之前尝试的方案为什么无法解决问题：

• BrowserHttpMessageHandler.DefaultCredentials配置是专门给Blazor WebAssembly（浏览器端运行）设计的，Blazor Server的请求不经过浏览器，自然无法生效
• ExecutionContext.SuppressFlow()会清空异步链路的请求上下文，直接导致当前用户的Windows身份丢失，反而会加重401问题
• 同站点下的应用不存在跨域问题，配置CORS规则完全无法解决认证校验失败的问题，属于冗余配置

内容的提问来源于stack exchange，提问作者JorgeJMartins