如何在IIS托管的ASP.NET MVC应用中混合Windows身份验证与非域账户登录？

你这个需求本质是要实现混合身份验证模式：让域内用户自动走Windows身份验证免密登录，同时允许本地账户通过表单验证对接外部数据库登录，还要能提取用户名给其他内网应用用。下面一步步给你拆解实现步骤：

1. 先搞定IIS和项目的基础身份配置 #

• 打开IIS站点的「身份验证」设置，启用Windows身份验证，同时禁用匿名身份验证——这一步是让域用户访问时自动触发Windows验证，直接拿到域用户身份。
• 到ASP.NET MVC项目的web.config里，修改身份验证和授权节点：

  <authentication mode="Windows" />
  <authorization>
    <deny users="?" /> <!-- 拒绝所有未授权的访问，先把大门关上 -->
  </authorization>
  

2. 给本地用户开个登录入口 #

因为要允许本地账户登录，得单独做个登录页面，还要给这个页面开匿名访问权限：

• 在web.config里加个location节点，给登录相关的路由放行：

  <location path="Account/Login">
    <system.web>
      <authorization>
        <allow users="?" /> <!-- 允许匿名访问登录页 -->
      </authorization>
    </system.web>
  </location>
  

• 新建AccountController，写Login动作：GET用来显示登录表单，POST用来对接外部数据库做验证，验证过了就给本地用户发表单身份票据：

  [HttpGet]
  [AllowAnonymous]
  public ActionResult Login()
  {
      return View();
  }
  
  [HttpPost]
  [AllowAnonymous]
  public ActionResult Login(LoginViewModel model)
  {
      // 这里写你对接外部数据库的验证逻辑，比如查数据库里的用户名密码是否匹配
      bool isLocalUserValid = CheckUserInExternalDb(model.Username, model.Password);
      
      if (isLocalUserValid)
      {
          // 给本地用户生成表单身份凭证
          FormsAuthentication.SetAuthCookie(model.Username, model.RememberMe);
          return RedirectToAction("Index", "Home");
      }
      ModelState.AddModelError("", "用户名或密码不对哦");
      return View(model);
  }
  

• 别忘了在web.config的authentication节点里补一下表单验证的配置（主模式还是Windows，表单验证是给本地用户用的）：

  <authentication mode="Windows">
    <forms loginUrl="~/Account/Login" timeout="2880" />
  </authentication>
  

3. 统一提取用户名给其他应用用 #

不管是域用户还是本地用户，我们需要一个统一的方法来拿用户名，方便给另一个内网应用调用：

• 写个静态工具方法，判断当前用户是域用户还是本地用户，返回干净的用户名：

  public static string GetCurrentValidUserName()
  {
      var currentUser = HttpContext.Current.User;
      if (currentUser.Identity is WindowsIdentity)
      {
          // 域用户的格式是「域\用户名」，把前面的域前缀去掉
          return currentUser.Identity.Name.Split('\\')[1];
      }
      else
      {
          // 本地用户直接返回表单验证的用户名
          return currentUser.Identity.Name;
      }
  }
  

• 如果要给另一个内网应用提供这个用户名，可以做个简单的API接口，比如在UserController里加个动作：

  [HttpGet]
  public JsonResult GetCurrentUser()
  {
      return Json(new { UserName = GetCurrentValidUserName() }, JsonRequestBehavior.AllowGet);
  }
  

4. 优化用户体验：自动跳转登录页 #

为了避免用户看到权限错误页面，我们可以加个全局过滤器，自动引导未登录的本地用户到登录页：

• 新建一个AuthCheckFilter实现IAuthorizationFilter：

  public class AuthCheckFilter : IAuthorizationFilter
  {
      public void OnAuthorization(AuthorizationContext filterContext)
      {
          var user = filterContext.HttpContext.User;
          // 如果用户没登录，而且当前访问的不是登录页，就跳转到登录页
          if (!user.Identity.IsAuthenticated && !filterContext.ActionDescriptor.ActionName.Equals("Login", StringComparison.OrdinalIgnoreCase))
          {
              filterContext.Result = new RedirectResult("~/Account/Login");
          }
      }
  }
  

• 到Global.asax的Application_Start里注册这个过滤器：

  GlobalFilters.Filters.Add(new AuthCheckFilter());
  

5. 测试时要注意的点 #

• 域用户测试：用域内的电脑登录后访问应用，应该直接进入，不用输密码，调试的时候可以看User.Identity.Name是不是正确的域用户格式。
• 本地用户测试：可以用非域机器访问，或者在域机器上开浏览器的隐身模式（避免Windows自动验证），这时候会自动跳转到登录页，输入外部数据库里的账户就能登录。
• IIS内核模式验证：如果你的应用池是集成模式，一定要确保Windows身份验证的「内核模式验证」是启用的，不然可能会出现域用户验证失败的情况。

内容的提问来源于stack exchange，提问作者maroch