.NET Framework 4.6.1+IIS环境下ASP.NET模拟身份验证失效求助

我之前帮不少开发者踩过这个坑，Windows身份验证的模拟在ASP.NET Core里确实容易出问题，结合你给出的代码和遇到的情况，给你几个可行的解决方向：

1. 先确保Kestrel的Windows身份验证配置正确 #

首先要确认你的项目已经正确启用了Windows身份验证中间件，不然User.Identity可能根本不是WindowsIdentity类型，模拟自然无从谈起。在Program.cs里要加上这些配置：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

// 中间件顺序很重要，要放在UseAuthorization之前
app.UseAuthentication();
app.UseAuthorization();

2. 检查运行账户的模拟权限 #

模拟功能需要运行应用的账户具备特定系统权限：

• 打开本地安全策略（secpol.msc），找到本地策略 > 用户权限分配
• 确保运行Kestrel的账户（开发环境可能是你的当前用户，生产环境是应用池账户）拥有在身份验证后模拟客户端和作为操作系统的一部分操作这两个权限
• 开发时记得以管理员身份运行Visual Studio，否则权限不足会导致模拟失败

3. 调整模拟代码的写法 #

你当前用的WindowsIdentity.RunImpersonated有时候会因为上下文释放问题导致失效，可以试试更稳妥的Impersonate方法，用using块确保上下文正确回收：

if (User.Identity is WindowsIdentity windowsUser)
{
    using (var impersonationContext = WindowsIdentity.Impersonate(windowsUser.AccessToken))
    {
        // 在这里执行需要模拟用户的操作
        // 可以加一行验证代码确认身份：
        var currentImpersonatedUser = WindowsIdentity.GetCurrent().Name;
        Console.WriteLine($"当前模拟用户：{currentImpersonatedUser}");
        
        impersonationContext.Undo();
    }
}

这种写法能更可靠地控制模拟上下文的生命周期，避免出现“看起来没执行”的情况。

4. 验证模拟是否真的生效 #

很多时候不是模拟没生效，而是后续操作的问题。建议在模拟块里直接输出当前身份（就像上面代码里的WindowsIdentity.GetCurrent().Name），确认是否切换到了目标用户，这样能快速定位是模拟环节的问题，还是业务代码的问题。

5. 部署到IIS的替代方案 #

既然Http.sys不支持模拟，如果你是生产环境部署，不妨考虑直接部署到IIS：

• 在IIS里启用Windows身份验证
• 进入应用池的高级设置，开启“启用模拟”
• 或者在web.config里添加配置：<identity impersonate="true" />
  IIS的原生模拟支持比手动写代码更稳定，尤其是在处理域用户的场景下。

内容的提问来源于stack exchange，提问作者Zeus82