Asp.Net Core在IIS/IIS Express中Windows认证无法识别用户问题

我来帮你搞定这个问题——你碰到的核心矛盾是：同时开启匿名和Windows认证时，IIS/IIS Express默认会优先走匿名访问逻辑，不会自动触发Windows身份验证，导致context.User.Identity.Name返回null；但直接禁用匿名或调用ChallengeAsync又会弹出你不需要的登录提示。下面是针对非域本地账户场景的完整解决方案：

步骤1：调整Startup.cs的认证与授权配置 #

你需要让应用主动尝试获取Windows身份，但不强制要求——这样既不会弹出登录框，又能在客户端允许的情况下自动拿到本地用户信息。

修正后的Startup代码 #

using Microsoft.AspNetCore.Authorization;
using Newtonsoft.Json;

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        // 配置IIS自动认证选项
        services.Configure<IISOptions>(iis =>
        {
            iis.AuthenticationDisplayName = "Windows";
            iis.AutomaticAuthentication = true;
        });

        // 注册Windows认证方案
        services.AddAuthentication(IISDefaults.AuthenticationScheme);

        // 添加授权策略：允许匿名访问，但优先尝试Windows认证
        services.AddAuthorization(options =>
        {
            options.FallbackPolicy = new AuthorizationPolicyBuilder()
                .AddAuthenticationSchemes(IISDefaults.AuthenticationScheme)
                .RequireAuthenticatedUser()
                .Build();
        });
    }

    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        if (env.IsDevelopment())
        {
            app.UseDeveloperExceptionPage();
        }

        // 启用认证与授权中间件（顺序不能乱）
        app.UseAuthentication();
        app.UseAuthorization();

        app.Run(async (context) =>
        {
            // 优先取Windows用户名，取不到则显示匿名
            var userName = context.User.Identity?.Name ?? "Anonymous";
            await context.Response.WriteAsync(JsonConvert.SerializeObject(new { UserName = userName }));
        });
    }
}

关键逻辑说明 #

• iis.AutomaticAuthentication = true：告诉IIS自动尝试获取Windows身份凭证，但不会强制用户提供——客户端拒绝的话依然保留匿名状态。
• FallbackPolicy：设置全局默认授权策略，让应用主动触发Windows认证流程，失败时不会弹出登录框，而是继续允许匿名访问。

步骤2：确认现有配置的正确性 #

你的现有配置大部分没问题，再核对以下几点：

• applicationhost.config：windowsAuthentication的providers已包含NTLM（非域环境本地认证的核心方式），配置正确。
• web.config：forwardWindowsAuthToken="true"必须保留，确保IIS能把认证令牌传递给Asp.Net Core进程。
• launchSettings.json：windowsAuthentication和anonymousAuthentication都设为true，无需修改。

步骤3：验证本地账户权限 #

因为你用的是Windows本地账户（非域环境），需要确保：

• 运行IIS Express的本地账户有应用目录的读取权限。
• 如果是正式IIS而非IIS Express，应用池身份建议设为ApplicationPoolIdentity或你的本地账户，且该账户拥有应用文件的访问权限。

为什么之前的配置失效？ #

你原始代码里只启用了Windows认证，但没有配置授权策略来触发认证尝试。当匿名认证开启时，IIS默认会直接走匿名路径，不会主动去获取Windows身份。添加FallbackPolicy后，应用才会主动发起Windows认证请求，同时兼容匿名访问的场景。

额外：针对特定路径触发Windows认证 #

如果只希望部分路径获取Windows身份，其他路径允许匿名，可以用[Authorize]标记控制器/动作，或者通过中间件指定路径：

// 仅对/secure路径强制Windows认证
app.UseWhen(context => context.Request.Path.StartsWithSegments("/secure"), appBuilder =>
{
    appBuilder.Use(async (context, next) =>
    {
        if (!context.User.Identity.IsAuthenticated)
        {
            await context.ChallengeAsync(IISDefaults.AuthenticationScheme);
            return;
        }
        await next();
    });
});

内容的提问来源于stack exchange，提问作者szahn