.NET Core 2 EF Razor Pages部署IIS后@User.Identity.Name为空问题

我之前在部署.NET Core 2的Razor Pages应用到IIS时，也碰到过@User.Identity.Name为空的问题，折腾了好一阵才搞定。结合当时的排查经验，给你整理几个关键的排查点和解决方案，应该能帮到你：

1. 检查.NET Core应用的身份验证服务配置 #

在Startup.cs里，必须正确添加Windows身份验证服务，并且保证中间件的顺序正确——这是很容易踩的坑：

public void ConfigureServices(IServiceCollection services)
{
    // 注册Windows身份验证方案
    services.AddAuthentication(IISDefaults.AuthenticationScheme);
    services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);
    // 其他服务配置...
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 注意：UseAuthentication必须在UseMvc之前，否则身份验证不会触发
    app.UseAuthentication();
    app.UseMvc();
    // 其他中间件...
}

2. 验证IIS站点的核心设置 #

除了启用Windows身份验证、禁用匿名验证，还要重点检查应用程序池：

• 应用程序池的**.NET CLR版本**必须设置为无托管代码（因为.NET Core是自托管运行时，不需要IIS的托管环境）
• 应用程序池的身份可以选择ApplicationPoolIdentity，如果是域环境，也可以使用有足够权限的域账户，确保能正确传递Windows身份信息

3. 修正web.config的托管配置 #

部署后生成的web.config里，需要配置AspNetCoreModule正确传递身份，特别是托管模式的差异：

<system.webServer>
  <aspNetCore processPath="dotnet" arguments=".\YourApp.dll" stdoutLogEnabled="false" stdoutLogFile=".\logs\stdout">
    <environmentVariables>
      <environmentVariable name="ASPNETCORE_ENVIRONMENT" value="Production" />
    </environmentVariables>
  </aspNetCore>
  <security>
    <authentication>
      <anonymousAuthentication enabled="false" />
      <windowsAuthentication enabled="true" />
    </authentication>
  </security>
</system.webServer>

如果是OutOfProcess托管模式，还要给aspNetCore节点加上forwardWindowsAuthToken="true"：

<aspNetCore ... forwardWindowsAuthToken="true" />

4. 确认服务器已安装Windows身份验证组件 #

很多时候服务器默认没装这个组件，导致身份验证根本无法生效：

1. 打开服务器管理器 → 添加角色和功能
2. 找到「Web服务器(IIS)」→「Web服务器」→「安全性」，勾选「Windows身份验证」
3. 安装完成后重启IIS

5. 调试身份验证状态 #

可以在Razor页面里加一段调试代码，确认身份验证的实际状态：

<p>是否已认证: @User.Identity.IsAuthenticated</p>
<p>认证类型: @User.Identity.AuthenticationType</p>
<p>用户名: @User.Identity.Name</p>

如果IsAuthenticated是false，说明身份验证没触发，回到前面的配置检查；如果是true但Name为空，大概率是身份传递时的权限问题（比如应用程序池权限不足），或者域环境下的Kerberos配置缺失。

6. 域环境下的Kerberos配置（可选） #

如果服务器在域环境中，可能需要配置SPN（服务主体名称）让Kerberos身份验证正常工作。可以用setspn命令为应用程序池账户添加对应SPN：

setspn -S HTTP/你的服务器域名.你的域.com 域\应用程序池账户名

这个步骤主要解决跨机器访问时的身份传递问题，本地测试服务器可能不需要，但域环境里经常会碰到这个坑。

内容的提问来源于stack exchange，提问作者ogg130