asp.net - IIS Windows 身份验证 401 未经授权

Question

我有一个要使用 Windows 身份验证的子应用程序。我希望当用户首次访问该页面时，登录框甚至会在域中弹出。

当我关闭内核模式身份验证时，登录框弹出，但在 3 次登录尝试后失败并显示错误 401 Not Authorized。如果我打开它，它甚至不要求输入密码，我相信这是因为计算机在服务器域中并且凭据是自动传递的。

是否有可能为所有用户(包括域用户)显示登录表单？

下图是我的服务器配置。

Answer 1

Windows 身份验证通常由 IIS 处理。这是它的工作方式:

1. 客户请求页面。
2. IIS 返回 HTTP 401 响应， header 表示它接受 Windows 身份验证。
3. 客户端的浏览器会自动重新发送带有用户凭据的请求(只要该站点是可信的)。
4. IIS 验证用户并将凭据传递给应用程序。

这一切都被设计成无缝的。

如果您希望始终提示用户输入凭据，则:

1. 确保您的站点不受信任(不在 Internet 选项受信任站点或 Intranet 站点中)。但你可能无法做到这一点。
2. 不要使用 Windows 身份验证。使用表单例份验证并制作一个登录页面，用户可以在其中输入其凭据。但这意味着您必须自己在代码中针对 Windows 或 Active Directory 验证凭据。

如果您使用#2，那么还要确保在您的网站上使用 SSL，因为密码将以纯文本形式发送。