authentication - 对 LDAP 进行身份验证时 Hook Windows 身份验证以获取凭据

Question

我有一个门户网站供员工更新他们的详细信息。人们使用他们的 Active Directory 凭据登录那里，我设置了 OWIN cookie 进行身份验证。这一切都是通过 MVC 登录页面完成的，与 IIS 上的 Windows 身份验证无关。

现在公司浏览器是 Internet Explorer，并配置为自动登录到其他 Windows 身份验证站点，而不提示输入密码。当人们使用公司 PC 并登录到他们的域帐户时，就会发生这种情况。如果他们在家工作，基本身份验证提示会要求提供这些系统上的凭据。

现在我想在用户从工作 PC 登录到他们的 Windows 域帐户时实现自动身份验证，如果他们在家工作，则显示登录页面。

我知道 401 质询和身份验证协商，但从未通过 ASP.Net 启动。我见过将用户重定向到 IIS 配置为 Windows 身份验证的页面的解决方案，但我希望在没有 IIS 配置的情况下完成此操作。我还记得我曾看到有人提到将页面加载到 <iframe> 的解决方案。其中检查基本身份验证，如果通过该身份验证成功，则将已通过身份验证的用户重定向到登录页面。

所以我的问题归结为:有没有办法针对 Controller 的特定操作发起(并完成)401 质询以进行基本身份验证？然后钩入Controller.User.Identity设置 OWIN cookie 的属性？

更新:
根据评论:当用户在域网络上时，我希望 Kerberos(Windows 身份验证)工作，因此他们会自动登录。但是我不希望在用户不在域网络上时进行 Windows 身份验证，而是希望自定义登录页面带有密码重置和注册选项(给定员工验证)。

Answer 1

如果我正确阅读了您的问题，您可能想要执行以下操作...

1) 创建 2 个授权过滤器:一个使用 AD，一个使用 BasicAuthentication

2)把它们按你想要的顺序排列。在你的情况下，如果我理解正确，你想先检查 AD。如果 AD 身份验证失败，您将故障转移到基本身份验证(这就是您实现 401 质询的地方)。
要确保过滤器按您想要的顺序执行，请注意过滤器上的 Order 属性:https://msdn.microsoft.com/en-us/library/gg401854%28v=vs.98%29.aspx

3)无论您最终使用哪种过滤器(AD或BasicAuth)，您都可以从那里设置您的OWIN cookie

希望有帮助。