Windows 10 UWP应用向自建WebAPI传递当前凭据实现无提示资源访问

嘿，看起来你已经在UWP调用WebAPI传递当前凭据的路上走了一半了，我来给你补全整个无缝实现的细节，确保全程不用弹框让用户输入凭据，完美实现你要的体验~

1. UWP端的HttpClient配置 #

首先，UWP里要让HttpClient正确抓取并传递当前用户的Windows凭据，核心就是HttpClientHandler的UseDefaultCredentials属性，同时别忘了配置UWP的网络权限，不然很容易踩坑。

直接上可复用的代码示例：

using System.Net.Http;
using System.Net.Http.Headers;

// 初始化Handler，启用默认凭据自动传递
var handler = new HttpClientHandler
{
    UseDefaultCredentials = true,
    // 要是你的API有跳转，这个设置得开着，避免凭据丢失
    AllowAutoRedirect = true
};

// 创建HttpClient实例
var httpClient = new HttpClient(handler);

// 按需设置请求头，比如JSON格式的API就加这个
httpClient.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

// 调用你的WebAPI接口
var response = await httpClient.GetAsync("https://你的API地址/api/目标资源");
// 确保请求成功，失败会抛异常
response.EnsureSuccessStatusCode();
var result = await response.Content.ReadAsStringAsync();

⚠️ 重点提醒：一定要在UWP的Package.appxmanifest里开启企业身份验证和**私有网络（客户端和服务器）**权限，不然要么拿不到凭据，要么连不上内网API。

2. WebAPI端的凭据接收与下游资源访问 #

WebAPI这边得先接住UWP传过来的凭据，然后用这些凭据去访问其他资源——这里要用到Windows身份验证，还得配置委派权限，让API能“代表”客户端去调用下游服务。

第一步：配置WebAPI的身份验证 #

如果是.NET 6+的API，直接在Program.cs里这么配：

// 注册Windows身份验证（用Negotiate协议，自动适配Kerberos/NTLM）
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme).AddNegotiate();
builder.Services.AddAuthorization();

// 中间件顺序别搞反，先验证再授权
app.UseAuthentication();
app.UseAuthorization();

另外，在API的项目属性里，记得开启Windows身份验证，如果不需要匿名访问就关掉匿名身份验证，确保只有带凭据的请求能进来。

第二步：用客户端身份访问下游资源 #

在控制器里，你可以拿到客户端的身份令牌，然后用WindowsIdentity.RunImpersonated模拟客户端身份去访问下游资源，比如内网文件、SQL Server或者其他服务：

[Authorize]
[ApiController]
[Route("api/[controller]")]
public class ResourceController : ControllerBase
{
    [HttpGet]
    public async Task<IActionResult> GetDownstreamResource()
    {
        // 把当前请求的用户身份转成WindowsIdentity
        var clientIdentity = HttpContext.User.Identity as WindowsIdentity;
        if (clientIdentity == null)
        {
            return Unauthorized("无法获取客户端的Windows身份");
        }

        // 模拟客户端身份执行下游操作
        await WindowsIdentity.RunImpersonated(clientIdentity.AccessToken, async () =>
        {
            // 示例1：访问内网共享文件
            var fileContent = await System.IO.File.ReadAllTextAsync(@"\\内网文件服务器\共享目录\data.txt");
            
            // 示例2：调用另一个需要身份验证的服务
            var downstreamClient = new HttpClient(new HttpClientHandler { UseDefaultCredentials = true });
            var downstreamResponse = await downstreamClient.GetAsync("https://下游服务地址/api/data");
        });

        return Ok("已成功用客户端身份访问下游资源");
    }
}

3. 避坑关键提醒 #

• Kerberos委派配置：如果API要访问跨机器的下游服务，必须在AD里给API的服务账户配置约束性委派，允许它代表客户端访问指定的服务。不然会报“登录失败：未授予用户在此计算机上的请求登录类型”的错误。
• 域环境要求：客户端（UWP所在机器）和API服务器最好在同一个域，或者已加入Azure AD，这样Kerberos能正常工作，不会弹凭据框。要是工作组环境，会降级到NTLM，这时候得确保两台机器互相信任。
• 权限检查：下游资源的权限要给客户端用户开放，不然就算模拟身份也访问不了。

内容的提问来源于stack exchange，提问作者slayernoah