模拟用户访问远程服务器文件遭拒绝：MVC应用UNC文件下载权限问题

这个问题我之前帮团队排查过好几次，核心是身份模拟在跨服务器场景下的双跳问题（Double Hop），这也是最常见的坑点。咱们一步步拆解原因和解决办法：

为什么会出现访问被拒绝？ #

当你的Web应用部署在Server1，要访问Server2的共享文件时，身份传递会经历两次跳转：

1. 第一跳：用户从浏览器把身份传递给Server1的Web应用
2. 第二跳：Server1用用户的模拟身份去访问Server2的共享

默认情况下，Kerberos身份验证不允许这种跨服务器的身份传递（双跳），会自动降级为NTLM协议，但NTLM无法将用户身份传递到第二台服务器——这时候Web应用实际是用自身的服务账户（比如Network Service、本地系统账户）去访问共享，而你明确不想给这个账户权限，自然就会出现「访问被拒绝」。

可行的解决方案 #

1. 配置Kerberos约束委派（域环境下最优解） #

这是域环境下解决双跳问题的标准方案，需要在Active Directory中做配置：

• 找到Web服务器（Server1）的计算机对象，打开「属性」→「委派」标签
• 选择「信任此计算机来委派指定的服务」，点击「添加」
• 找到文件服务器（Server2）的计算机账户，勾选其下的CIFS服务（这是文件共享的核心服务）
• 确保Web应用的应用池身份是域账户（不能用Network Service这类本地账户），且该域账户在AD中未勾选「账户敏感，不能被委派」
• 最后在IIS中启用Windows身份验证，优先使用Kerberos：打开站点的「身份验证」→「Windows身份验证」→「高级设置」，勾选「启用内核模式身份验证」

2. 调整模拟代码的正确姿势 #

如果已经配置了委派，还要确保模拟代码是完整的：

// 获取当前请求的用户Windows身份
WindowsIdentity currentUserIdentity = (WindowsIdentity)User.Identity;
using (WindowsImpersonationContext impersonationCtx = currentUserIdentity.Impersonate())
{
    try
    {
        // 访问远程UNC路径
        string filePath = @"\\Server2\SharedFiles\document.pdf";
        byte[] fileContent = System.IO.File.ReadAllBytes(filePath);
        
        // 返回文件给用户
        return File(fileContent, "application/pdf", Path.GetFileName(filePath));
    }
    finally
    {
        // 务必结束模拟
        impersonationCtx.Undo();
    }
}

注意：如果没配置Kerberos委派，这段代码依然会失败，因为双跳问题没解决。

3. 非域环境/委派不可行的替代方案 #

如果你的环境不是域环境，或者委派配置太复杂，可以考虑这两种方式：

• 让用户提供凭据访问：在前端添加一个输入框让用户输入域账户密码，然后用NetworkCredential创建凭据，通过Windows API（比如WNetAddConnection2）建立共享连接后再访问文件。但要注意加密存储用户密码，避免安全风险。
• 中间层代理服务：在文件服务器（Server2）上部署一个轻量的Web API，专门处理文件下载请求。Web应用调用这个API，API用Server2本地的权限读取文件并返回给Web应用——这样Web应用不需要直接访问共享，权限控制在API层完成。

必做的前置检查 #

在尝试上述方案前，先确认两个基础问题：

• 用户自身确实有访问Server2共享文件夹和目标文件的权限（让用户在自己的电脑上直接访问\\Server2\Shared，看能否打开文件）
• Web服务器和文件服务器之间的网络是通的，没有防火墙阻止SMB（文件共享）端口（默认445）

内容的提问来源于stack exchange，提问作者Matt J