如何在 ASP.NET MVC 中支持 NTLM 身份验证并回退到表单？

Question

我如何在 ASP.NET MVC 应用程序中实现以下功能：

1. 用户打开 Intranet 网站
2. 如果可能的话，
3. 如果 NTLM 身份验证未成功，则对用户进行静默身份验证，向用户显示登录表单
4. 用户指示登录密码并从预定义域列表中选择域
5. 用户是使用 AD 在代码中进行身份验证

我知道如何实现 4 和 5，但找不到有关如何组合 NTLM 和表单的信息。 因此，NTLM 本机登录/密码对话框永远不会显示 - 透明的身份验证或美观的登录页面。

应该如何工作？ 是否应该询问用户登录名和密码？ 是否可以在不要求输入登录名和密码的情况下使用她当前的凭据（域用户名）？

更新这些内容，调查同样的问题：

当我问这个问题时，我并不完全理解 NTLM 身份验证内部是如何工作的。 这里需要理解的重要一点是，如果用户的浏览器不正确支持 NTLM 或者用户禁用了 NTLM 支持 - 服务器将永远没有机会解决此问题。

Windows 身份验证的工作原理：

1. 客户端向服务器发送常规 HTTP 请求
2. 服务器使用 HTTP 状态 401 进行响应，并指示必须使用 NTLM 身份验证才能访问资源
3. 客户端发送 NTLM Type1 消息
4. 服务器使用带有质询的 NTLM Type2 消息进行响应
5. 客户端发送带有响应的 Type3 消息 服务器以请求
6. 的实际内容进行响应

如您所见，不支持 NTLM 的浏览器将不会转到步骤 (3)，而是向用户显示 IIS 生成的错误 401 页面。

如果用户没有凭据，取消 NTLM 身份验证后，弹出对话框窗口浏览器也不会继续执行 (3)。

因此我们没有机会自动将用户重定向到自定义登录页面。

这里唯一的选择是有一个“网关”页面，我们在其中决定用户是否应该支持 NTLM，如果是，则重定向到 NTLM 保护的主页。

如果没有，则显示登录表单并允许通过手动输入登录名和密码进行身份验证。

通常通过匹配 IP 范围或检查预定义 IP 表，根据用户的 IP 地址和/或主机名做出决定。

Answer 1

这篇文章可能会为您指明正确的方向。基本上，您在同一主机名下的两个虚拟目录中有两个应用程序。一款应用程序使用 Forms 身份验证，一款应用程序使用 Windows。使用 Windows 身份验证的用户会创建一个有效的表单身份验证 cookie 并重定向到第二个虚拟目录。

ASP.NET混合模式认证

Answer 2

我在生产中进行了精确的设置，我将门户设置为使用 FormsAuth 并编写了一个函数，该函数使用访问者 IP 来查找登录到该 IP/PC 的用户帐户。使用我找到的名称（例如 DOMAIN\user），我使用 Membership.GetUser(<用户>）。如果此调用返回匹配项并且用户 IsApproved 我将创建一个 FormsAuthenticationTicket &用户的 cookie。我的网络上有 400 多人，这工作得很好，唯一仍然登录的计算机是（1. 在我的门户中没有帐户的用户，2. 一些 MAC/Linux 用户，3. 没有在网络上启动的移动用户并让组策略将防火墙设置为高）。

此解决方案的问题在于，它需要模拟域管理员帐户来查询用户的电脑，并且您使用非托管代码netapi32.dll。

这是我使用的代码（为简洁起见，未提供外部函数调用）。我试图稍微简化一下，因为有很多外部调用。

string account = String.Empty;
string domain = String.Empty;
string user = String.Empty;


ImpersonateUser iu = new ImpersonateUser();  //Helper that Enabled Impersonation
if (iu.impersonateValidUser(StringHelper.GetAppSetting("DomainAccount"), StringHelper.GetAppSetting("DomainName"), StringHelper.GetEncryptedAppSetting("DomainAccountPassword")))
{
    NetWorkstationUserEnum nws = new NetWorkstationUserEnum(); //Wrapper for netapi32.dll (Tested on Vista, XP, Win2K, Win2K3, Win2K8)
    string host = nws.DNSLookup(Request.UserHostAddress); // netapi32.dll requires a host name, not an IP address

    string[] users = nws.ScanHost(host); // Gets the users/accounts logged in

    if (nws.ScanHost(host).Length > 0)
    {
        string workstationaccount = string.Empty;

        if (host.IndexOf('.') == -1)  // Pick which account to use, I have 99.9% success with this logic (only time doesn't work is when you run a interactive process as a admin e.g. Run As <process>).
        {
            workstationaccount = String.Format("{0}\\{1}$",StringHelper.GetAppSetting("DomainName"), host).ToUpper();
        }
        else
        {
            workstationaccount = String.Format("{0}\\{1}$", StringHelper.GetAppSetting("DomainName"), host.Substring(0, host.IndexOf('.'))).ToUpperInvariant();
        }

        account = users[users.Length - 1].Equals(workstationaccount) ? users[0] : users[users.Length - 1];

        domain = account.Substring(0, account.IndexOf("\\"));
        user = account.Substring(account.IndexOf("\\") + 1,
                                 account.Length - account.IndexOf("\\") - 1);
    }

    iu.undoImpersonation(); // Disable Impersonation
}

现在使用我们在第一个函数/进程中获取的帐户，我们现在尝试验证并决定是否应该显示登录或自动登录用户。

MembershipUser membershipUser = Membership.GetUser(user);

if (membershipUser != null && membershipUser.IsApproved)
{
    string userRoles = string.Empty;  // Get all their roles
    FormsAuthenticationUtil.RedirectFromLoginPage(user, userRoles, true); // Create FormsAuthTicket + Cookie + 
}

我很久以前写了一篇关于此的博客文章，这里是我在帖子中提供的 netapi32.dll 包装器和我的模拟助手的链接 源代码下载

Answer 3

您不能在同一个 ASP.NET 应用程序中同时拥有 NTLM 和 FormsAuthentication。您将需要两个不同的应用程序位于不同的虚拟目录中。