.NET Core 2.0 Windows身份模拟失效求助：内网HR应用配置问题

嘿，我完全懂你现在的困扰——从.NET Framework转到.NET Core，原来顺手的identity impersonate=true突然失效，确实让人头疼。结合你的场景（VS2017/C#开发内网HR应用、Windows Server 2012 R2 IIS反向代理、仅启用Windows身份验证、.NET Core Hosting 2.0.5），我给你梳理了一套可行的解决方案：

一、先确认IIS的基础配置（别漏了这些细节） #

• 站点身份验证：确保仅启用Windows身份验证，其余验证方式全部禁用（你已经做了，但再检查一遍有没有误开）
• 应用池权限配置：
  1. 打开应用池的「高级设置」，在「进程模型」里，给应用池账户添加模拟权限——可以通过本地安全策略（secpol.msc），找到「本地策略」→「用户权限分配」→「允许模拟客户端」，把应用池使用的账户（比如Network Service或者你的自定义服务账户）添加进去
  2. 如果你的应用是32位的，记得开启「启用32位应用程序」选项

二、.NET Core里的身份模拟要靠代码实现 #

.NET Core不再支持web.config里的自动身份模拟，得手动在代码里处理，分同步和异步两种场景：

同步场景下的模拟 #

在需要模拟用户身份的代码块里，用WindowsImpersonationContext包裹：

// 先从HttpContext获取当前登录的Windows用户身份
var windowsIdentity = (WindowsIdentity)HttpContext.User.Identity;

// 模拟用户身份执行操作
using (var impersonationContext = windowsIdentity.Impersonate())
{
    // 这里写需要以登录用户身份执行的逻辑，比如访问文件系统、数据库等
    // 示例：输出当前执行身份，验证模拟是否生效
    var currentUserName = WindowsIdentity.GetCurrent().Name;
    Console.WriteLine($"当前执行身份：{currentUserName}");
    
    // using块结束后，会自动恢复到应用池的原始身份
}

异步场景下的模拟 #

异步操作里线程会切换，上面的方法可能失效，要用WindowsIdentity.RunImpersonated：

var windowsIdentity = (WindowsIdentity)HttpContext.User.Identity;

await WindowsIdentity.RunImpersonated(windowsIdentity.AccessToken, async () =>
{
    // 异步操作逻辑，比如异步读取文件、调用API等
    var currentUserName = WindowsIdentity.GetCurrent().Name;
    Console.WriteLine($"异步执行身份：{currentUserName}");
});

三、web.config和Startup的关键配置 #

web.config里必须设置转发令牌 #

确保ASP.NET Core模块配置中开启forwardWindowsAuthToken="true"，这样IIS才会把Windows身份验证的令牌传给.NET Core应用：

<system.webServer>
  <handlers>
    <add name="aspNetCore" path="*" verb="*" modules="AspNetCoreModule" resourceType="Unspecified" />
  </handlers>
  <aspNetCore 
    processPath="dotnet" 
    arguments=".\YourHRApp.dll" 
    stdoutLogEnabled="false" 
    stdoutLogFile=".\logs\stdout" 
    forwardWindowsAuthToken="true" />
</system.webServer>

Startup里启用Windows身份验证 #

在ConfigureServices中添加Windows身份验证服务：

public void ConfigureServices(IServiceCollection services)
{
    // 添加Windows身份验证
    services.AddAuthentication(IISDefaults.AuthenticationScheme);
    
    // 其他服务配置，比如MVC、数据库上下文等
    services.AddMvc();
}

在Configure中启用身份验证中间件（要放在Mvc之前）：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseExceptionHandler("/Home/Error");
    }

    app.UseStaticFiles();
    // 启用身份验证
    app.UseAuthentication();
    app.UseMvc(routes =>
    {
        routes.MapRoute(
            name: "default",
            template: "{controller=Home}/{action=Index}/{id?}");
    });
}

四、额外注意事项 #

• 测试时用域内用户访问应用，通过输出WindowsIdentity.GetCurrent().Name来验证模拟是否生效
• 如果需要访问网络资源（比如共享文件夹），除了登录用户要有权限，应用池账户还需要配置委派权限（如果是跨域访问的话）
• 确认服务器上的.NET Core Windows Server Hosting 2.0.5安装完整，没有损坏，可以重新安装一次确保没问题

内容的提问来源于stack exchange，提问作者drolaw