Web API 2中Windows身份验证的正确实现方案咨询

嘿，针对你做内网Web API 2应用的Windows身份验证需求，我来一步步给你捋清楚正确的实现方式，还有你关心的类似WebForms BeginRequest的安全检查点怎么搞～

你已经在Web.config里加了<system.web>下的Windows身份验证配置，但要让它在Web API 2里真正生效，还需要补充IIS相关的配置，毕竟Web API大多跑在IIS上。

完整的Web.config身份验证相关配置应该是这样：

<system.web>
  <!-- 传统ASP.NET管道的身份验证配置 -->
  <authentication mode="Windows" />
  <!-- 禁用匿名访问，强制走Windows验证 -->
  <authorization>
    <deny users="?" />
  </authorization>
</system.web>

<system.webServer>
  <!-- IIS层面的身份验证配置，和上面的配置配合生效 -->
  <security>
    <authentication>
      <anonymousAuthentication enabled="false" />
      <windowsAuthentication enabled="true" />
    </authentication>
  </security>
</system.webServer>

另外别忘了检查IIS应用池的设置：

• 应用池要设为集成模式（经典模式也能跑，但集成模式更适配Web API的管道）
• 应用池的运行身份需要有访问内网资源的权限（比如如果要读取AD组信息，身份得有对应的AD访问权限）

配置好之后，就能在控制器里轻松拿到当前登录的Windows用户信息了，比如：

public IHttpActionResult GetUserInfo()
{
    var windowsIdentity = User.Identity as WindowsIdentity;
    if (windowsIdentity == null || !windowsIdentity.IsAuthenticated)
    {
        return Unauthorized();
    }

    // 获取用户名、所属AD组等信息
    var userName = windowsIdentity.Name;
    var userGroups = windowsIdentity.Groups
        .Select(group => group.Translate(typeof(NTAccount)).Value)
        .ToList();

    return Ok(new { UserName = userName, Groups = userGroups });
}

WebForms里的BeginRequest是全局请求开始时的钩子，在Web API 2里有两种常用的实现方式，你可以根据需求选：

1. 用ActionFilterAttribute（控制器/方法级别，灵活） #

这个方式适合在请求进入控制器方法前做检查，既可以全局生效，也能针对特定控制器/方法启用。

先创建自定义过滤器：

public class WindowsAuthSecurityFilter : ActionFilterAttribute
{
    public override void OnActionExecuting(HttpActionContext actionContext)
    {
        var windowsIdentity = actionContext.RequestContext.Principal.Identity as WindowsIdentity;
        if (windowsIdentity == null || !windowsIdentity.IsAuthenticated)
        {
            actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Unauthorized);
            return;
        }

        // 这里加你的自定义安全逻辑，比如检查用户是否属于指定AD组
        var isInAllowedGroup = windowsIdentity.Groups.Any(group => 
            group.Translate(typeof(NTAccount)).Value.Equals("YOUR_DOMAIN\\AllowedApiUsers", StringComparison.OrdinalIgnoreCase));
        
        if (!isInAllowedGroup)
        {
            actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Forbidden);
            return;
        }

        base.OnActionExecuting(actionContext);
    }
}

如果要全局生效，就在WebApiConfig.cs里注册：

public static void Register(HttpConfiguration config)
{
    // 注册全局安全过滤器
    config.Filters.Add(new WindowsAuthSecurityFilter());
    
    // 其他路由、格式配置...
}

如果只想给特定控制器/方法用，直接加特性就行：

[WindowsAuthSecurityFilter]
public class OrdersController : ApiController
{
    // 控制器方法...
}

2. 用DelegatingHandler（全局管道级别，更早触发） #

如果想在请求进入控制器之前更早的阶段做检查（更接近WebForms BeginRequest的时机），就用DelegatingHandler，它属于Web API的消息处理管道，优先级比过滤器更高。

创建自定义Handler：

public class WindowsAuthSecurityHandler : DelegatingHandler
{
    protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var windowsIdentity = request.GetRequestContext().Principal.Identity as WindowsIdentity;
        if (windowsIdentity == null || !windowsIdentity.IsAuthenticated)
        {
            return request.CreateResponse(HttpStatusCode.Unauthorized);
        }

        // 比如检查请求IP是否来自内网
        var clientIp = request.GetClientIpAddress();
        if (!IsInternalIp(clientIp))
        {
            return request.CreateResponse(HttpStatusCode.Forbidden);
        }

        // 继续传递请求到下一个管道环节
        var response = await base.SendAsync(request, cancellationToken);
        return response;
    }

    private bool IsInternalIp(string ipAddress)
    {
        // 实现内网IP判断逻辑，比如匹配10.x.x.x、192.168.x.x等网段
        if (IPAddress.TryParse(ipAddress, out var ip))
        {
            var bytes = ip.GetAddressBytes();
            switch (bytes[0])
            {
                case 10:
                    return true;
                case 192 when bytes[1] == 168:
                    return true;
                case 172 when bytes[1] is >= 16 and <= 31:
                    return true;
            }
        }
        return false;
    }
}

然后在WebApiConfig.cs里注册：

public static void Register(HttpConfiguration config)
{
    // 注册全局消息处理器
    config.MessageHandlers.Add(new WindowsAuthSecurityHandler());
    
    // 其他配置...
}

• 客户端也要适配：如果是.NET客户端调用API，要让HttpClient自动发送Windows凭据：

  var handler = new HttpClientHandler { UseDefaultCredentials = true };
  var client = new HttpClient(handler);
  

  如果是浏览器访问，IE/Edge默认会自动发凭据，Chrome/Firefox需要把你的内网站点加到信任区域，才能自动发送Windows身份信息。
• 别混合身份验证：不要同时启用Windows和匿名验证，否则会导致身份验证逻辑混乱，甚至失效。

内容的提问来源于stack exchange，提问作者user9393635