WebRequest本地运行正常，发布后调用REST服务报401未授权

我来帮你分析下这个问题——本地运行正常但部署到IIS后无法传递Windows凭据，大概率是身份验证配置或委托权限的问题，咱们一步步来排查解决：

1. 检查IIS应用程序池的身份配置 #

本地运行时，客户端用的是你当前的交互式用户身份，天然有权限访问目标服务；但部署到IIS后，客户端默认运行在应用程序池身份下（比如ApplicationPoolIdentity、Network Service），这些内置身份默认没有跨机器传递凭据的权限（也就是Kerberos委托限制）。

你可以先尝试：

• 打开IIS管理器，找到你的站点对应的应用程序池
• 进入「高级设置」→「进程模型」→「身份」
• 选择「自定义账户」，输入一个拥有目标REST服务访问权限的域账户
• 重启应用程序池和站点后再测试

2. 简化凭据代码，避免逻辑冲突 #

你当前的代码同时设置了UseDefaultCredentials = true和手动构建CredentialCache，这可能会干扰默认的凭据传递逻辑。对于集成Windows身份验证，其实只需要简单配置即可，试试简化后的代码：

var requestUrl = $"{ConfigurationManager.AppSettings["positionServicePath"]}?positionNumberSearch={searchString}";
var request = (HttpWebRequest)WebRequest.Create(requestUrl);

request.Method = "GET";
request.ContentType = "application/json";
request.UseDefaultCredentials = true;
request.PreAuthenticate = true; // 提前发送凭据，避免额外的401试探请求

// 获取响应并处理
using (var response = request.GetResponse())
{
    using var reader = new StreamReader(response.GetResponseStream());
    var resultList = JsonConvert.DeserializeObject<IEnumerable<PositionModel>>(reader.ReadToEnd());
    return resultList?.ToList() ?? new List<PositionModel>();
}

3. 确认目标REST服务的身份验证设置 #

确保目标服务的IIS站点配置正确：

• 启用Windows身份验证，并禁用不需要的匿名身份验证
• 检查服务的「授权规则」，确保允许客户端应用池的身份（或你配置的域账户）访问

4. 配置Kerberos委托（跨机器场景） #

如果客户端和REST服务不在同一台机器，默认可能会使用NTLM协议，但NTLM不支持凭据委托（无法传递原始用户身份），这时候需要配置Kerberos：

1. 确保客户端和服务都在同一个Active Directory域中
2. 为REST服务的服务器注册SPN（服务主体名称），用setspn命令执行：

   setspn -A HTTP/your-service-server domain\service-account
   setspn -A HTTP/your-service-server.your-domain.com domain\service-account
   

3. 在AD中找到客户端应用池使用的域账户，进入「属性」→「委托」选项卡，设置允许该账户委托给REST服务的SPN

5. 查看详细错误日志定位问题 #

开启IIS的详细错误日志，或者查看服务端Windows事件查看器的「安全日志」，注意401错误的子状态码：

• 401.1：登录失败，身份验证凭据无效
• 401.3：权限不足，用户身份有效但无资源访问权限
• 401.5：Kerberos身份验证失败，通常是SPN配置问题

通过子状态码可以更精准地定位具体哪里出了问题。

内容的提问来源于stack exchange，提问作者Goofy Coder