同一服务器上ASP.NET MVC站点间WebRequest调用始终返回401未授权

这种跨站点的Windows身份验证调用遇到401，大概率是Kerberos约束委派或者NTLM双跳的问题——毕竟两个站点虽在同一台IIS，但跨应用池的话，默认的凭据传递会被系统限制。我来给你拆解几个核心解决方向：

1. 检查应用池身份的委派权限 #

Windows身份验证跨应用传递凭据时，需要应用池的运行账户具备委派权限：

• 如果应用池用的是ApplicationPoolIdentity，对应的账户格式是机器名$\应用池名称，比如WEB-SERVER$\Mvc5AppPool；如果是自定义域账户，直接用域账户名即可。
• 打开AD用户和计算机（如果是域环境），找到对应账户，右键→属性→委派，选择信任此计算机以委派指定的服务，然后添加目标Core站点的HTTP服务（需要先注册SPN，看下一步）。

2. 注册服务主体名称（SPN） #

Kerberos依赖SPN识别服务，必须为应用池账户注册对应服务器的HTTP服务SPN：
打开管理员权限的命令提示符，执行以下命令（替换成你的服务器信息）：

# 注册主机名的SPN
setspn -S HTTP/<服务器主机名> <应用池运行账户>
# 注册FQDN的SPN（避免域名解析问题）
setspn -S HTTP/<服务器完整域名> <应用池运行账户>

举个例子：服务器主机名是WebServer，完整域名是WebServer.company.com，应用池账户是DOMAIN\MvcPoolAccount，命令就是：

setspn -S HTTP/WebServer DOMAIN\MvcPoolAccount
setspn -S HTTP/WebServer.company.com DOMAIN\MvcPoolAccount

注意：MVC5和Core两个站点的应用池账户都需要注册，或者如果用的是同一个账户，注册一次即可。

3. 调整ASP.NET Core站点的身份验证配置 #

在Core站点的Startup.cs里，确保身份验证中间件配置正确且启用：

public void ConfigureServices(IServiceCollection services)
{
    // 启用IIS集成的Windows身份验证
    services.AddAuthentication(IISDefaults.AuthenticationScheme);
    
    // 可选：精细配置IIS身份验证选项
    services.Configure<IISOptions>(options =>
    {
        options.AutomaticAuthentication = true;
        options.ForwardClientCertificate = false;
    });
    
    services.AddMvc();
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 必须在UseMvc之前添加身份验证中间件
    app.UseAuthentication();
    app.UseMvc();
}

4. 检查IIS站点的身份验证设置 #

• 两个站点都要确保Windows身份验证启用，匿名身份验证禁用。
• 进入MVC5站点的IIS设置→身份验证→Windows身份验证→高级设置，勾选启用内核模式身份验证（这是Kerberos正常工作的关键）。

5. 简化代码中的凭据设置 #

你当前的代码重复设置了多个凭据属性，可以简化，避免冲突：

WebRequest request = WebRequest.Create(source);
// 只保留这一行就足够传递当前Windows凭据
request.UseDefaultCredentials = true;
WebResponse response = request.GetResponse();
MemoryStream dataSt...

另外，请求URL尽量用服务器的主机名或完整域名，不要用localhost——localhost会强制使用NTLM，更容易触发双跳限制。

如果还是没解决，可以启用IIS的失败请求跟踪，查看401的具体子状态码（比如401.1是凭据无效，401.2是身份验证方法被拒绝，401.3是文件/目录ACL权限问题），能更精准定位问题。

内容的提问来源于stack exchange，提问作者Mad Rian