ASP.NET Boilerplate结合AD域登录与匿名认证遇IIS 404.15错误求助

先梳理下你的核心需求：域用户自动静默登录，非域用户跳转登录页输入账号密码。结合你给出的代码和遇到的问题，一步步来解决：

一、先修复现有代码的明显错误 #

你的代码里有拼写和LDAP查询语法问题，先修正：

if (!HttpContext.User.Identity.IsAuthenticated) // 修正拼写错误：HttpConetxt → HttpContext
{
    var domainUserName = System.Web.HttpContext.Current.User.Identity.Name;
    // 替换为你的域LDAP路径，比如"LDAP://your-company-domain.com"
    var entry = new DirectoryEntry("LDAP://your-domain-controller-address");
    var search = new DirectorySearcher(entry);
    // 修正Filter的拼写（samaccountname而非sameaccountname）和括号匹配
    search.Filter = $"(&(objectClass=user)(samaccountname={domainUserName}))";
    var result = search.FindOne();
    if (result != null)
    {
        // 后续查找ABP数据库映射用户并登录的逻辑，下面会讲正确的实现方式
    }
}

二、解决Application_AuthenticateRequest中使用ABP数据库服务的问题 #

你想把认证逻辑放在Application_AuthenticateRequest里，但这里直接拿不到ABP的依赖注入服务（比如DbContext、UserManager），因为ABP的初始化在这个事件之后。推荐两种更合理的方案：

方案1：通过ABP的IocManager获取服务（适合快速改造） #

在Global.asax中，你可以利用ABP的IOC容器来获取所需服务，注意要创建作用域避免资源泄漏：

protected void Application_AuthenticateRequest(object sender, EventArgs e)
{
    var httpContext = HttpContext.Current;
    if (!httpContext.User.Identity.IsAuthenticated)
    {
        var domainUserName = httpContext.User.Identity.Name;
        // 跳过匿名用户的空用户名
        if (string.IsNullOrEmpty(domainUserName)) return;

        // 创建IOC作用域，获取所需服务
        using (var scope = IocManager.Instance.CreateScope())
        {
            var userManager = scope.Resolve<UserManager>();
            // 可以把AD验证逻辑封装成一个独立服务，更易维护
            var adValidationService = scope.Resolve<IAdValidationService>();

            if (adValidationService.IsValidDomainUser(domainUserName))
            {
                // 查找ABP系统中对应的用户（假设用UserName存储域用户名）
                var abpUser = userManager.FindByName(domainUserName);
                if (abpUser != null)
                {
                    // 执行ABP的登录逻辑
                    var signInManager = scope.Resolve<SignInManager>();
                    signInManager.SignIn(abpUser, isPersistent: false, rememberBrowser: false);
                }
                else
                {
                    // 域用户未在系统注册，跳转到登录页或提示
                    httpContext.Response.Redirect("/Account/Login");
                }
            }
            else
            {
                // 非域用户，直接跳转登录页
                httpContext.Response.Redirect("/Account/Login");
            }
        }
    }
}

注意：确保在Application_Start中先完成ABP的初始化，再使用IocManager。

方案2：自定义ABP认证过滤器（更符合ABP架构，推荐） #

创建一个自定义过滤器，利用ABP的依赖注入自动获取服务，逻辑更清晰：

public class AdAutoLoginFilter : IAuthorizationFilter, ITransientDependency
{
    private readonly IUserManager _userManager;
    private readonly ISignInManager _signInManager;
    private readonly IAdValidationService _adValidationService;

    public AdAutoLoginFilter(IUserManager userManager, ISignInManager signInManager, IAdValidationService adValidationService)
    {
        _userManager = userManager;
        _signInManager = signInManager;
        _adValidationService = adValidationService;
    }

    public void OnAuthorization(AuthorizationContext filterContext)
    {
        var httpContext = filterContext.HttpContext;
        // 仅处理未认证但Windows身份已通过的请求
        if (!httpContext.User.Identity.IsAuthenticated && httpContext.Request.IsAuthenticated)
        {
            var domainUserName = httpContext.User.Identity.Name;
            if (_adValidationService.IsValidDomainUser(domainUserName))
            {
                var abpUser = _userManager.FindByName(domainUserName);
                if (abpUser != null)
                {
                    _signInManager.SignIn(abpUser, false, false);
                }
                else
                {
                    filterContext.Result = new RedirectResult("/Account/Login");
                }
            }
            else
            {
                filterContext.Result = new RedirectResult("/Account/Login");
            }
        }
    }
}

然后在你的ABP模块的PreInitialize方法中注册这个过滤器：

public override void PreInitialize()
{
    Configuration.Modules.AbpMvc().Filters.Add<AdAutoLoginFilter>();
}

三、解决IIS HTTP Error 404.15问题 #

这个错误通常是请求过滤模块拒绝了过长的查询字符串，或者路由配置冲突，解决步骤：

1. 调整IIS请求过滤设置：
   • 打开IIS管理器 → 找到你的站点 → 功能视图 → 请求过滤 → 编辑功能设置
   • 勾选"允许双重转义"，并增大"最大查询字符串长度"（比如设为4096）
2. 检查登录页路由：确保Account/Login的Action存在，且正确添加了[AllowAnonymous]特性
3. 验证Web.config的认证配置，确保Windows和匿名认证同时启用且无冲突：

<system.web>
    <authentication mode="Windows" />
    <authorization>
        <allow users="?" /> <!-- 允许匿名访问所有页面，后续通过ABP权限控制 -->
    </authorization>
</system.web>
<system.webServer>
    <security>
        <authentication>
            <anonymousAuthentication enabled="true" />
            <windowsAuthentication enabled="true" />
        </authentication>
    </security>
</system.webServer>

四、最后验证流程 #

1. 确保域用户的samaccountname和ABP系统中的UserName完全匹配（也可以自定义映射规则，比如去掉域名前缀）
2. 域用户测试：用域机器访问系统，应该自动登录，无需跳转登录页
3. 非域用户测试：用非域机器访问，会自动跳转到登录页，输入账号密码可正常登录

内容的提问来源于stack exchange，提问作者Spencer