Web站点转Web应用项目后Windows认证异常，AJAX调用触发意外登录对话框

我之前也碰到过类似Web Site转Web Application后的Windows身份验证问题，结合你遇到的AJAX意外弹出登录框的场景，整理了几个根本解决方案：

1. 精准配置web.config的身份验证规则 #

你临时把<allow users="?"/>改成开放访问的方式太宽泛，其实应该针对AJAX请求涉及的特定资源单独开放匿名权限，全局保持Windows认证的严格性：

• 如果你的AJAX调用的是WebMethod，给对应的aspx页面加单独的location配置：

  <location path="YourAjaxEndpoint.aspx">
    <system.web>
      <authorization>
        <allow users="*"/>
      </authorization>
    </system.web>
  </location>
  

• 要是AJAX请求涉及静态资源（比如特定的js文件），也需要单独放行：

  <location path="Scripts/AjaxUtils.js">
    <system.web>
      <authorization>
        <allow users="*"/>
      </authorization>
    </system.web>
  </location>
  

• 全局的身份验证规则保持原有要求，只禁止匿名访问未授权的资源：

  <system.web>
    <authentication mode="Windows"/>
    <authorization>
      <deny users="?"/> <!-- 全局默认禁止匿名，只开放需要的资源 -->
    </authorization>
  </system.web>
  

2. 同步IIS与web.config的身份验证配置 #

Web Application Project的部署模型和Web Site不一样，必须确保IIS侧的配置和web.config完全匹配：

• 打开IIS管理器，找到你的站点，进入身份验证功能：
  • 确保Windows身份验证已启用，匿名身份验证仅在你需要的资源上启用（全局建议禁用）
  • 检查Windows身份验证的提供程序，确认NTLM或Negotiate处于启用状态，避免因提供程序不兼容触发登录弹窗
• 检查应用程序池的标识：如果AJAX请求需要访问后端资源（比如数据库），要保证应用程序池的身份有足够权限，别因为权限不足导致二次认证请求

3. 让AJAX请求自动携带Windows认证凭据 #

很多前端库（比如jQuery）默认不会自动携带Windows认证的凭据，需要显式配置：

• 用jQuery的$.ajax时，加上xhrFields配置：

  $.ajax({
    url: "YourAjaxEndpoint.aspx/GetData",
    type: "POST",
    contentType: "application/json; charset=utf-8",
    dataType: "json",
    xhrFields: {
      withCredentials: true // 强制携带Windows认证凭据
    },
    success: function(res) {
      // 处理返回结果
    }
  });
  

• 另外，AJAX请求尽量用相对路径，避免哪怕是同域名下的路径差异导致凭据无法正常携带

4. 排查NTLM双跳问题（如果涉及跨服务器资源访问） #

如果你的AJAX请求需要调用另一台服务器的资源（比如远程数据库、文件共享），可能会碰到NTLM的双跳限制——NTLM不允许将用户身份传递到第三台服务器：

• 可以考虑切换到Kerberos认证，配置对应的服务主体名称（SPN）来支持身份传递
• 或者直接给应用程序池的身份赋予后端资源的访问权限，不再依赖用户身份的传递

5. 对比原Web Site项目的配置差异 #

毕竟问题是转换后出现的，建议把原来Web Site项目的web.config和现在Web Application的配置做个对比：

• 重点看<system.webServer>下的模块配置，Web Application可能默认加了runAllManagedModulesForAllRequests="true"，这个设置会让所有静态资源都走Managed模块，触发不必要的认证检查，你可以调整为只针对需要的资源启用Managed模块

内容的提问来源于stack exchange，提问作者Roland Kwee