ASP.NET MVC应用发布后用域名无法获取Windows登录用户名求助

首先纠正代码里的错误：WindowsIdentity.GetCurrent()在应用池未启用身份模拟的情况下，返回的是应用池运行账户的名称，而非当前登录用户的Windows ID，所以这个方法不适合用来获取登录用户信息，你应该只依赖User?.Identity?.Name来获取用户的domain\userid。

接下来针对域名访问时User.Identity.Name为空的问题，排查以下几个方向：

1. 浏览器Intranet区域信任设置 #

Windows身份验证依赖浏览器自动向服务器发送当前用户的凭据，若你的域名未被浏览器识别为Intranet站点，浏览器会拒绝自动传递凭据，导致服务器无法获取用户身份：

• 打开IE/Edge浏览器的Internet选项 → 安全 → 本地Intranet → 站点 → 将你的域名添加到区域中
• 同时确保“自定义级别”里的“自动登录到Intranet区域”设置为启用状态

2. IIS Windows身份验证提供程序与Kerberos配置 #

当使用域名访问时，Windows身份验证默认会尝试使用Kerberos协议，若Kerberos配置失败，可能导致认证失效：

• 打开IIS管理器 → 你的站点 → 身份验证 → Windows身份验证 → 提供程序，确保同时启用Negotiate和NTLM
• 若使用自定义应用池账户，需要为该账户注册SPN（服务主体名称），命令如下（替换为你的域名和应用池账户）：

  setspn -S HTTP/yourdomain.com domain\apppool_account_name
  

  执行后重启IIS服务

3. web.config身份验证节点配置 #

确保web.config中明确启用Windows身份验证并拒绝匿名访问，避免配置不一致：

<system.web>
  <!-- 启用Windows身份验证 -->
  <authentication mode="Windows" />
  <!-- 拒绝匿名用户访问 -->
  <authorization>
    <deny users="?" />
  </authorization>
  <!-- 关闭身份模拟（默认就是false，确保不要设为true） -->
  <identity impersonate="false" />
</system.web>

4. 应用池账户权限 #

虽然你设置了应用池使用自身身份，但该账户可能缺少必要的权限：

• 确保应用池账户拥有“登录为服务”权限（在本地安全策略 → 用户权限分配中配置）
• 若域环境下，该账户需要有读取Active Directory用户信息的权限

5. 网络设备拦截身份验证流量 #

若域名访问经过防火墙或代理服务器，这些设备可能拦截了Windows身份验证的请求头（如Negotiate/NTLM相关的HTTP头）：

• 检查防火墙/代理规则，确保允许HTTP请求中的Authorization头传递到后端服务器

内容的提问来源于stack exchange，提问作者Sjk