ASP.NET Core 2.0中Windows身份验证能否开放部分页面匿名访问？

看起来你已经配置了Windows身份验证，但[AllowAnonymous]没生效，大概率是几个常见的配置问题导致的，我给你梳理下解决步骤：

1. 检查服务器端的身份验证设置 #

这是最容易被忽略的点！如果你的应用是在IIS或IIS Express中运行，必须同时启用Windows身份验证和匿名身份验证：

• 对于IIS Express：右键项目 → 属性 → 调试 → 勾选"启用匿名身份验证"和"启用Windows身份验证"。
• 对于IIS：在站点的身份验证功能中，确保"匿名身份验证"和"Windows身份验证"都处于启用状态。

如果只开了Windows身份验证，IIS会直接拦截所有请求要求登录，根本轮不到ASP.NET Core处理[AllowAnonymous]的逻辑。

2. 确认Startup.cs中的中间件配置 #

确保身份验证中间件在MVC之前注册，这样授权逻辑才能正常工作：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 其他中间件（异常处理、静态文件等）...

    // 必须在UseMvc之前调用
    app.UseAuthentication();

    app.UseMvc(routes =>
    {
        routes.MapRoute(
            name: "default",
            template: "{controller=Home}/{action=Index}/{id?}");
    });
}

另外，如果你设置了全局授权过滤器（比如要求所有用户必须登录），要确保[AllowAnonymous]能覆盖这个全局规则：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(IISDefaults.AuthenticationScheme);
    
    services.AddMvc(options =>
    {
        // 全局授权策略：要求所有用户必须经过身份验证
        var globalPolicy = new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .Build();
        options.Filters.Add(new AuthorizeFilter(globalPolicy));
    }).SetCompatibilityVersion(CompatibilityVersion.Version_2_0);
}

3. 正确使用[AllowAnonymous]和[Authorize]属性 #

你的代码结构本身是对的，但要注意层级覆盖关系：

• 如果控制器没有加[Authorize]，直接给需要授权的Action加[Authorize(Roles = "Administrator")]，公开的Action加[AllowAnonymous]即可：

public class HomeController : Controller
{
    [Authorize(Roles = "Administrator")]
    public IActionResult Index()
    {
        return View();
    }

    [AllowAnonymous]
    public IActionResult About()
    {
        ViewData["Message"] = "Your application description page.";
        return View();
    }
}

• 如果控制器本身加了[Authorize]，那么Action上的[AllowAnonymous]会覆盖控制器级别的授权要求，同样生效。

另外，注意Windows身份验证中的角色是Windows组名，如果是域环境，可能需要写成"DOMAIN\\Administrators"这样的格式，确保角色名称正确。

按照上面的步骤调整后，你的About页面应该就能公开访问，Index页面只有管理员组的用户能访问了。

内容的提问来源于stack exchange，提问作者Madhav