Angular 4集成Windows认证后20分钟出现401凭据弹窗求助

刚好之前处理过类似的内网Windows认证超时问题，我来给你拆解下整个流程和解决方案：

先帮你理清楚认证时凭据是怎么从浏览器到IIS的：

• 浏览器端：当你在Angular的HttpClient里设置withCredentials: true后，浏览器会自动处理凭据的传递：
  1. 首次请求API时，IIS会返回401状态码，发起Windows认证挑战
  2. 浏览器获取当前登录用户的域凭据（NTLM或Kerberos令牌），加密后发送给IIS
  3. 验证通过后，IIS会返回一个会话令牌，后续请求浏览器会自动带上这个令牌，不用重复提交凭据
• 服务器端：IIS负责整个认证环节，验证通过后会把用户身份传递给ASP.NET Web API，你可以通过User.Identity获取当前用户的信息

你遇到的20分钟超时，几乎可以确定是这两个原因之一：

• 默认情况下，IIS应用程序池的闲置超时时间就是20分钟——如果超过这个时间没有请求，应用池会被回收，之前的认证令牌直接失效
• 另外，Windows认证的令牌本身也有有效期：Kerberos的票证默认有效期是1小时左右，而NTLM的连接令牌会和应用池的生命周期绑定，池回收就会失效
• 当令牌失效后，浏览器会重新发起认证挑战，这时候就会弹出凭据输入框，因为它没办法自动刷新已经失效的令牌

我整理了几个实用的解决办法，你可以根据自己的场景选择：

1. 调整IIS应用程序池的超时配置 #

这是最直接的解决方式：

• 打开IIS管理器，找到你的项目对应的应用程序池，右键选「高级设置」
• 修改闲置超时（分钟），把默认的20改成更长的时间（比如120，根据业务需求来）
• 同时调整定期时间间隔（分钟）（应用池自动回收的时间），避免频繁回收导致令牌失效

2. 用Angular拦截器自动处理401 #

可以在Angular里加一个请求拦截器，当捕获到401响应时，自动重新发起请求，触发浏览器重新传递凭据，不用用户手动输入：

import { Injectable } from '@angular/core';
import { HttpRequest, HttpHandler, HttpInterceptor, HttpErrorResponse } from '@angular/common/http';
import { Observable, throwError } from 'rxjs';
import { catchError } from 'rxjs/operators';

@Injectable()
export class AuthInterceptor implements HttpInterceptor {
  intercept(request: HttpRequest<any>, next: HttpHandler): Observable<any> {
    // 确保所有请求都带上凭据
    const authRequest = request.clone({ withCredentials: true });

    return next.handle(authRequest).pipe(
      catchError((error: HttpErrorResponse) => {
        // 遇到401时重新发起一次请求，触发浏览器自动重新认证
        if (error.status === 401) {
          return next.handle(request.clone({ withCredentials: true }));
        }
        return throwError(() => error);
      })
    );
  }
}

然后在app.module.ts里注册这个拦截器：

import { HTTP_INTERCEPTORS } from '@angular/common/http';
import { AuthInterceptor } from './auth.interceptor';

@NgModule({
  // ...其他配置
  providers: [
    { provide: HTTP_INTERCEPTORS, useClass: AuthInterceptor, multi: true }
  ]
})
export class AppModule { }

3. 添加心跳请求保持应用池活跃 #

可以在Angular里加一个定时的心跳请求，每隔一段时间（比如15分钟）给API发一个简单的请求，避免应用池因为闲置超时被回收：

import { Injectable, OnInit } from '@angular/core';
import { HttpClient } from '@angular/common/http';

@Injectable({ providedIn: 'root' })
export class HeartbeatService implements OnInit {
  constructor(private http: HttpClient) {}

  ngOnInit(): void {
    // 每隔15分钟发送一次心跳请求到健康检查接口
    setInterval(() => {
      this.http.get('/api/health', { withCredentials: true }).subscribe({
        next: () => {},
        error: () => {}
      });
    }, 15 * 60 * 1000);
  }
}

然后在app.component.ts里注入这个服务，确保应用启动后就开始心跳：

import { HeartbeatService } from './heartbeat.service';

@Component({
  // ...组件配置
})
export class AppComponent {
  constructor(private heartbeatService: HeartbeatService) {}
}

4. 检查CORS和浏览器配置 #

• 如果Angular和API的域名不同（哪怕是内网），要确保Web API的CORS配置允许withCredentials，ASP.NET里的配置示例：

services.AddCors(options =>
{
  options.AddPolicy("IntranetCors", policy =>
  {
    policy.WithOrigins("http://your-angular-app-url")
          .AllowAnyHeader()
          .AllowAnyMethod()
          .AllowCredentials();
  });
});

• 同时检查浏览器设置：把你的内网地址添加到「本地Intranet」区域（IE/Edge里），这个区域默认允许浏览器自动发送Windows凭据，不会弹出输入框

如果上面的方法都没解决，你可以检查这些地方：

• 确认IIS的Windows认证是否启用了「内核模式认证」（默认是开启的，但可以去IIS的认证设置里确认），这个设置能提升NTLM认证的稳定性
• 如果用的是Kerberos认证，联系域管理员检查票证的有效期设置，必要时调整

内容的提问来源于stack exchange，提问作者manoj gowda