启用Anonymous与Windows Authentication后功能异常问题求助

我之前处理过完全相同的IIS认证配置问题，给你几个经过验证的解决步骤：

1. 精准控制匿名认证的应用范围 #

首先要明确：匿名认证和Windows认证不能在同一资源上同时生效，否则IIS会优先使用匿名，导致Windows认证被跳过。你需要给站点分区域配置：

• 公共资源（比如静态文件、首页）保留匿名认证，用应用池标识没问题；
• 需要用户身份的页面/路径，单独禁用匿名认证，强制走Windows认证。

可以通过web.config的location节点实现精准配置：

<!-- 公共区域允许匿名 -->
<location path="Public">
  <system.webServer>
    <security>
      <authentication>
        <anonymousAuthentication enabled="true" userName="IIS AppPool\YourAppPoolName" />
        <windowsAuthentication enabled="false" />
      </authentication>
    </security>
  </system.webServer>
</location>

<!-- 私密区域禁用匿名，强制Windows认证 -->
<location path="Secure">
  <system.webServer>
    <security>
      <authentication>
        <anonymousAuthentication enabled="false" />
        <windowsAuthentication enabled="true" />
      </authentication>
    </security>
  </system.webServer>
</location>

2. 修复NTLM模式下的用户信息丢失问题 #

切换到NTLM后丢失用户信息，大概率是配置细节没到位：

• 调整NTLM优先级：在IIS站点的「Windows认证」→「提供程序」里，把NTLM移到列表最顶部，确保IIS优先使用NTLM而非Negotiate（Kerberos）；
• 配置web.config的身份验证规则：确保需要用户信息的区域拒绝匿名用户，同时启用Windows认证：

  <system.web>
    <authentication mode="Windows" />
    <authorization>
      <deny users="?" /> <!-- 拒绝匿名访问 -->
      <allow users="*" /> <!-- 允许所有已认证用户 -->
    </authorization>
  </system.web>
  

• 启用应用池用户配置文件：在应用池的「高级设置」里，把「加载用户配置文件」设为True，这样应用池才能正确获取用户上下文信息；
• 代码里直接读取Windows身份：用User.Identity.Name（ASP.NET）或者Request.ServerVariables["LOGON_USER"]（原生IIS）来获取当前登录用户，不要依赖Session等非原生身份存储。

3. 实现无弹窗的Windows认证 #

你要的「无弹窗但Windows认证正常工作」，核心是让浏览器自动提交当前Windows用户的凭据，需要满足：

• 把站点加入浏览器的「本地Intranet」区域（IE/Edge），或者在Chrome的启动参数里添加--auth-server-whitelist="*.yourdomain.com"，让浏览器信任站点并自动发送凭据；
• 确保NTLM是唯一的Windows认证提供程序，避免Kerberos带来的弹窗或认证失败问题。

内容的提问来源于stack exchange，提问作者John9