Web API启用Windows身份验证遇授权拒绝问题求排查

我来帮你排查下这个Windows身份验证的问题，结合你给出的配置，大概率是几个关键配置没到位，咱们一步步来核对：

1. 确认IIS身份验证的核心设置 #

• 首先要确保匿名身份验证是完全禁用的！从你提供的IIS截图来看，得确认这个选项是关着的——如果匿名开着，请求会优先走匿名通道，直接跳过Windows身份验证，自然会触发授权拒绝。
• 同时要确认Windows身份验证是启用状态，还要检查站点的「高级设置」里的「启用Windows身份验证」有没有勾选（有些时候父级配置的继承会导致站点级设置不生效，得手动确认）。
• 另外看应用程序池：如果是经典模式，应用池的身份要设置成有资源访问权限的账号；集成模式下，要是你的API是32位程序，别忘了勾选「启用32位应用程序」避免兼容问题。

2. 修正Web.config的关键配置 #

你的Web.config截图里的配置可能不够完整，针对ASP.NET Web API的Windows身份验证，正确的配置应该包含这两部分：

系统Web节点配置 #

<system.web>
  <!-- 启用Windows身份验证 -->
  <authentication mode="Windows" />
  <!-- 明确拒绝匿名用户 -->
  <authorization>
    <deny users="?" />
  </authorization>
</system.web>

IIS服务器节点配置 #

<system.webServer>
  <security>
    <authentication>
      <!-- 禁用匿名 -->
      <anonymousAuthentication enabled="false" />
      <!-- 启用Windows身份验证 -->
      <windowsAuthentication enabled="true" />
    </authentication>
  </security>
</system.webServer>

如果是Web API 2项目，还要确保你已经安装了Microsoft.AspNet.WebApi.WebHost NuGet包，这个包是Web API和IIS集成的关键。

3. 控制器与请求的细节检查 #

• 你的控制器方法名拼写错啦：TestAutentication应该是TestAuthentication，虽然这个不影响授权，但建议修正避免后续混淆。
• 测试请求的时候要注意：
  • 浏览器访问的话，直接输入API地址，浏览器会自动用当前登录的Windows账号发起验证；
  • 用Postman这类工具的话，要在「Authorization」选项里选择「NTLM Authentication」，填入你的Windows账号和密码。
• 还要排查有没有自定义的授权过滤器或者中间件，比如自己写的AuthorizationFilterAttribute，会不会覆盖了默认的Windows身份验证逻辑。

4. 额外排查点 #

• 检查服务器的防火墙或者域策略，有没有阻止NTLM/Kerberos的验证流量；
• 如果是本地IIS Express开发，要在Visual Studio的项目属性「Web」选项卡下，把「身份验证」设置为「Windows身份验证」，「匿名身份验证」设为禁用。

内容的提问来源于stack exchange，提问作者Dev Db