IE调用.NET MVC项目API时触发401 Unauthorized错误求助

我之前处理过好几起类似的IE下Windows身份验证跨应用调用失败的案例，结合你描述的场景——主客户端和API都部署在IIS7.5，Chrome/Firefox正常，IE里通过主应用调API就报401，但直接访问API没问题，大概率是IE的身份验证规则或者IIS的配置细节没踩对，给你梳理几个实用的排查和解决方向：

1. IE的Intranet区域凭据传递限制 #

IE默认只会自动把当前登录凭据发送到它识别为「Intranet」的站点，如果你的主应用和API域名不在IE的Intranet列表里，它就会拒绝传递凭据，直接导致401错误。

• 操作步骤：
  • 打开IE，点击右上角设置图标 → Internet选项 → 安全 → 本地Intranet → 站点 → 高级
  • 把主应用和API的完整URL都添加到列表中（比如http://your-main-portal和http://your-api-service）
  • 进入「自定义级别」，找到「用户身份验证」→「登录」选项，确认已勾选「自动登录到Intranet区域中的所有站点」

2. IIS身份验证提供器顺序问题 #

你提到主门户和API都启用了Windows身份验证，包含NTLM和Negotiate两种提供器，但IE会优先尝试Negotiate（也就是Kerberos协议），而跨应用调用时Kerberos很容易因为SPN配置缺失失效，进而触发401。

• 解决方案：
  • 打开IIS管理器，定位到你的API站点 → 身份验证 → Windows身份验证 → 右键选择「提供程序」
  • 选中NTLM，点击「上移」按钮，把它调整到Negotiate的前面，强制IE优先使用NTLM验证

3. 跨站点请求的凭据传递配置 #

如果主应用和API是不同域名，主应用调用API属于跨站点请求，IE对XMLHttpRequest的凭据传递有特殊限制，需要两端都做配置：

• 主应用端：在API调用代码里开启凭据传递
  • 用jQuery的话：

    $.ajax({
      url: "http://your-api-service/api/xxx",
      xhrFields: {
        withCredentials: true
      }
    });
    

  • 用.NET HttpClient的话：

    var handler = new HttpClientHandler { UseDefaultCredentials = true };
    var client = new HttpClient(handler);
    

• API端：确保IIS返回的响应头包含Access-Control-Allow-Credentials: true，同时Access-Control-Allow-Origin不能设为*，必须指定主应用的具体域名

4. 模拟配置的细节检查 #

你提到主门户启用了模拟，要确认模拟的身份能正确传递到API：

• 检查主应用的web.config，确保模拟配置是：

  <identity impersonate="true" />
  

  不要指定固定的userName和password，否则会固定用某个身份，无法传递当前登录用户的凭据
• 进入API站点的Windows身份验证高级设置，确认「启用内核模式身份验证」选项已勾选，否则模拟的身份无法正确传递到API

• 用Fiddler抓一下IE里主应用调用API的请求，查看请求头里有没有Authorization字段：
  • 如果没有，说明IE根本没发送凭据，优先排查Intranet区域设置
  • 如果有但还是401，那大概率是Kerberos失效或者IIS身份验证配置的问题
• 确认API站点的应用程序池身份是Network Service或者域账户，用本地账户的话，跨应用身份验证很容易失败

内容的提问来源于stack exchange，提问作者Prasa