.NET 4.8 MVC中[AllowAnonymous]失效，无法绕过NTLM认证求助

为什么[AllowAnonymous]失效？ #

1. NTLM认证是IIS层面的强制拦截：你的应用启用了Windows认证（NTLM属于其中），IIS会在请求到达ASP.NET MVC管道之前就要求客户端提供NTLM凭证，此时MVC的[AllowAnonymous]属性还没机会执行，完全无效。
2. 错误使用ASP.NET Core的授权属性：Microsoft.AspNetCore.Authorization是ASP.NET Core框架的组件，在.NET Framework的ASP.NET MVC项目中完全不兼容，只有System.Web.Mvc.AllowAnonymous才是对应框架的属性，但它也无法绕过IIS级别的认证拦截。

解决方法 #

方法1：通过web.config的location节点豁免特定路径的NTLM认证 #

这是最直接的方案，通过配置指定目标端点路径关闭Windows认证、启用匿名认证：

<!-- 在web.config的根节点下添加 -->
<location path="MyController/MyEndpoint">
  <system.webServer>
    <security>
      <authentication>
        <windowsAuthentication enabled="false" />
        <anonymousAuthentication enabled="true" />
      </authentication>
    </security>
  </system.webServer>
  <!-- 如果是WebAPI端点，补充覆盖system.web下的认证设置 -->
  <system.web>
    <authentication mode="None" />
  </system.web>
</location>

• 注意path的值要和实际请求路径完全匹配（比如WebAPI端点可能是api/MyController/MyEndpoint），路径需准确。
• 确保站点级的匿名认证已启用（IIS管理器→站点→认证→匿名认证→启用），否则该路径的匿名访问会被IIS拒绝。

方法2：自定义HttpModule在请求早期跳过授权检查 #

如果无法修改IIS全局设置，可通过自定义HttpModule在IIS认证流程之前标记请求为允许匿名：

1. 创建自定义模块类：

using System;
using System.Web;

namespace YourAppNamespace
{
    public class AnonymousEndpointModule : IHttpModule
    {
        public void Init(HttpApplication context)
        {
            context.BeginRequest += OnBeginRequest;
        }

        private void OnBeginRequest(object sender, EventArgs e)
        {
            var app = (HttpApplication)sender;
            var requestPath = app.Context.Request.Path;
            
            // 匹配目标端点路径，可根据实际路由调整
            if (requestPath.Equals("/MyController/MyEndpoint", StringComparison.OrdinalIgnoreCase))
            {
                // 告诉ASP.NET跳过授权检查
                app.Context.SkipAuthorization = true;
            }
        }

        public void Dispose() { }
    }
}

2. 在web.config中注册该模块：

<system.webServer>
  <modules>
    <add name="AnonymousEndpointModule" type="YourAppNamespace.AnonymousEndpointModule" />
  </modules>
</system.webServer>

• 此方法需要IIS允许目标路径的匿名认证，否则IIS仍会在模块执行前返回401。

方法3：调整curl请求参数避免自动协商NTLM #

curl默认会尝试自动协商认证，可添加参数强制跳过NTLM协商：

curl -v 'https://mydomain/MyController/MyEndpoint' -X POST -d '{jsondata...}' --no-negotiate

额外检查点 #

• 确认FilterConfig.RegisterGlobalFilters中没有全局添加AuthorizeAttribute（如果有，[AllowAnonymous]本应能覆盖，但前提是IIS没先拦截）。
• 检查web.config根节点的system.web/authentication是否设置为mode="Windows"，这会强制站点级Windows认证，必须通过location节点覆盖特定路径。

内容的提问来源于stack exchange，提问作者user31939286