UseIdentityServerBearerTokenAuthentication：Fiddler调用API时Identity为WindowsIdentity而非ClaimsIdentity

这个问题我之前处理过，核心原因是你的Web API同时启用了Windows身份验证和IdentityServer的Bearer令牌验证，两种验证的优先级或请求携带信息不匹配导致了这个差异。咱们一步步拆解解决：

1. 先确认Fiddler请求是否正确携带Bearer令牌 #

用Fiddler调用API时，必须在请求头里手动添加令牌，格式如下：

Authorization: Bearer <你的引用令牌内容>

如果没加这个头，API如果开启了Windows身份验证，就会自动用当前Windows账户的身份完成认证，自然返回的Identity就是WindowsIdentity。这是最容易忽略的细节，先检查这一点！

2. 检查API的IdentityServer中间件配置 #

因为你用的是引用令牌，API的验证模式必须指定为ValidationEndpoint，同时要确保中间件优先于其他身份验证逻辑执行。示例Owin Startup配置代码如下：

app.UseIdentityServerBearerTokenAuthentication(new IdentityServerBearerTokenAuthenticationOptions
{
    Authority = "https://你的授权服务地址",
    RequiredScopes = new[] { "你的API Scope名称" },
    // 引用令牌必须使用此验证模式
    ValidationMode = ValidationMode.ValidationEndpoint,
    // 设置为主动验证，确保令牌验证是首要逻辑
    AuthenticationMode = Microsoft.Owin.Security.AuthenticationMode.Active,
    RequireHttpsMetadata = true,
});

注意这个中间件要放在其他身份验证相关代码（比如UseWindowsAuthentication）之前，保证Bearer令牌验证先执行并设置正确的ClaimsIdentity。

3. 禁用IIS的Windows身份验证（非必需场景） #

如果你的API只需要基于IdentityServer的令牌验证，不需要Windows身份验证，直接在IIS里关闭它：

• 打开IIS管理器，找到你的API应用
• 进入「身份验证」功能
• 禁用「Windows身份验证」，仅保留「匿名身份验证」
  这样API就不会自动回退到Windows身份认证，只会处理Bearer令牌的验证逻辑。

4. 调试身份验证流程（排查用） #

如果问题依然存在，可以在API控制器中添加调试代码，查看当前所有身份信息：

public IHttpActionResult Get()
{
    foreach (var identity in User.Identities)
    {
        Debug.WriteLine($"身份类型：{identity.GetType().Name}，名称：{identity.Name}，认证方式：{identity.AuthenticationType}");
    }
    return Ok(new { CurrentIdentityType = User.Identity.GetType().Name, UserName = User.Identity.Name });
}

通过这段代码可以确认是否同时存在ClaimsIdentity和WindowsIdentity，如果是的话，说明Windows身份验证仍被触发，需要进一步调整中间件顺序或禁用它。

5. 强制API优先使用Bearer令牌身份（特殊场景） #

如果必须保留Windows身份验证（比如某些特殊业务需求），可以在中间件配置中添加规则，强制将ClaimsIdentity设为主要身份，示例代码如下：

TokenProvider = new OAuthBearerAuthenticationProvider
{
    OnValidateIdentity = context =>
    {
        // 确保当前身份为ClaimsIdentity，否则拒绝请求
        if (!(context.Identity is ClaimsIdentity))
        {
            context.Rejected();
        }
        return Task.FromResult(0);
    }
}

按照上面的步骤排查调整，应该就能解决Fiddler调用时Identity为WindowsIdentity的问题了。

内容的提问来源于stack exchange，提问作者jasonu