配置IIS使用Negotiate并传递凭据给AOT版ASP.NET Core应用遇500错误

结合你的配置和症状，核心问题出在服务器变量传递的配置细节上，以下是具体排查点和解决方案：

1. 确认HTTP_X_FORWARDED_USER已加入允许的服务器变量 #

你提到已将LOGON_USER加入applicationHost.config的allowedServerVariables，但忽略了另一个关键：当你设置HTTP_X_FORWARDED_USER = {LOGON_USER}时，IIS需要允许修改HTTP_X_FORWARDED_USER这个变量。

打开applicationHost.config（通常在%windir%\System32\inetsrv\config），找到<system.webServer><rewrite><allowedServerVariables>节点，确保同时包含：

<add name="LOGON_USER" />
<add name="HTTP_X_FORWARDED_USER" />

修改后执行iisreset命令重启IIS生效。

2. 检查web.config中serverVariables节点的位置 #

serverVariables必须嵌套在具体的反向代理规则内部，不能单独放在rewrite节点下。正确的结构示例：

<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Proxy to Kestrel" stopProcessing="true">
          <match url="(.*)" />
          <action type="Rewrite" url="http://localhost:你的Kestrel端口/{R:1}" />
          <!-- serverVariables必须放在当前规则下 -->
          <serverVariables>
            <set name="HTTP_X_FORWARDED_USER" value="{LOGON_USER}" />
          </serverVariables>
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

节点位置错误会导致IIS解析失败，直接返回500错误。

3. 验证AOT应用已正确处理转发头部 #

ASP.NET Core AOT应用默认不会自动处理反向代理的转发头部，需要在Program.cs中显式配置：

var builder = WebApplication.CreateBuilder(args);

// 配置转发头部，确保能获取到IIS传递的用户信息
builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = Microsoft.AspNetCore.HttpOverrides.ForwardedHeaders.All;
    // 添加你的IIS服务器IP到信任代理列表
    options.KnownProxies.Add(IPAddress.Parse("你的IIS服务器IP"));
});

var app = builder.Build();

// 必须在其他中间件之前调用UseForwardedHeaders
app.UseForwardedHeaders();

app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

app.Run();

缺少此配置的话，即使IIS传递了用户变量，AOT应用也无法识别，可能间接触发IIS端的错误反馈。

4. 排除NTLM与浏览器的兼容性问题 #

虽然移除serverVariables后能正常输入凭据，但仍需确认浏览器对NTLM的支持：

• Chrome：默认支持，避免在隐身模式下访问（隐身模式可能禁用NTLM缓存）
• Firefox：在about:config中设置network.negotiate-auth.trusted-uris为你的IIS站点域名（例如http://your-iis-site.com）

内容的提问来源于stack exchange，提问作者Fabien