Windows Authentication工作原理及配置后401未授权问题排查

嘿，我来帮你把Windows身份验证的逻辑讲明白，还有你碰到的401问题怎么解决～

它可不是只靠Web.config就能跑起来的，是客户端（浏览器）、服务器（IIS/IIS Express）、应用配置三方配合的流程：

• 第一步：你用浏览器访问网站，先发一个不带凭据的HTTP请求
• 第二步：服务器一看你没带身份信息，就返回401 未授权，同时在响应头里加WWW-Authenticate: Negotiate, NTLM——这相当于告诉浏览器：“我只认Windows账号，你要么给我发凭据，要么让用户登录”
• 第三步：浏览器根据自己的配置来处理：
  • 如果是IE/Edge，且你的网站在“本地Intranet”信任列表里，它会自动拿出当前Windows登录的用户名和密码发给服务器
  • 如果是Firefox，或者网站不在信任列表里，它就弹出登录对话框让你手动输入账号密码
• 第四步：服务器验证凭据有效，就返回你要的页面；无效的话继续返回401，直到你输入正确的凭据或者放弃

你用Empty模板建的项目，大概率是漏掉了服务器端或者Web.config的关键配置，我给你一步步排查：

1. 先把服务器端的Windows身份验证打开 #

不管你用的是VS自带的IIS Express，还是正式的IIS，这步是核心：

• IIS Express：右键项目→属性→Web→服务器选“IIS Express”，先点“创建虚拟目录”。然后找到文档\IISExpress\config里的applicationhost.config文件，搜索你的站点名称，确认下面的配置：

  <authentication>
    <windowsAuthentication enabled="true" />
    <anonymousAuthentication enabled="false" /> <!-- 必须关匿名，不然服务器会直接接受匿名请求，不触发Windows auth -->
  </authentication>
  

• 正式IIS：打开IIS管理器→找到你的站点→身份验证→启用“Windows身份验证”，禁用“匿名身份验证”

2. 修正Web.config的配置 #

你的Web.config里必须明确拒绝匿名用户，同时启用Windows身份验证，下面是ASP.NET Framework和Core的通用配置：

<system.web>
  <!-- ASP.NET Framework 用这段 -->
  <authentication mode="Windows" />
  <authorization>
    <deny users="?" /> <!-- 拒绝所有匿名访问，强制身份验证 -->
  </authorization>
</system.web>

<system.webServer>
  <!-- 不管是Framework还是Core，都要加这段服务器级的配置 -->
  <security>
    <authentication>
      <anonymousAuthentication enabled="false" />
      <windowsAuthentication enabled="true" />
    </authentication>
  </security>
</system.webServer>

如果是ASP.NET Core，还要在Program.cs里加两行关键代码：

builder.Services.AddAuthentication(IISDefaults.AuthenticationScheme);
// 注意顺序：先UseAuthentication，再UseAuthorization
app.UseAuthentication();
app.UseAuthorization();

3. 调整浏览器配置，实现你的目标 #

让IE/Edge自动发送Windows凭据 #

• 打开IE→工具→Internet选项→安全→本地Intranet→站点→高级，把你的网站地址（比如http://localhost或者内网域名）加进去
• 接着点“自定义级别”→找到“用户身份验证”→选“自动使用当前用户名和密码登录”
• Edge的话，去设置→隐私、搜索和服务→安全→本地Intranet站点，同样添加地址，然后开启“自动登录到Intranet区域”

让Firefox弹出登录对话框 #

Firefox默认不会自动发Windows凭据，只要服务器配置正确，它本来就会弹登录框。如果没弹，可能是你之前保存了错误凭据，或者没把站点加入信任列表：

• 在Firefox地址栏输入about:config，搜索network.negotiate-auth.trusted-uris，把你的网站地址加进去（比如localhost）
• 再搜索network.automatic-ntlm-auth.trusted-uris，同样添加地址
  这样设置后，Firefox会先尝试自动发凭据，失败就弹出登录框，完全符合你的需求

很简单，WinForms模板默认已经帮你做好了所有配置：自动禁用匿名身份验证、启用Windows auth，甚至可能已经把站点加入了IIS Express的信任列表，所以你不用手动改就能正常触发身份验证流程。而Empty模板是完全空白的，所有配置都要自己加，漏掉任何一步都会出问题～

内容的提问来源于stack exchange，提问作者Roland Kwee