本文翻译自：Mixing Forms and Windows Security in ASP.NET
摘要：ASP.NET开发人员曾经问到过如何使用Forms和Windows混合验证。Paul Wilson提供了一个解决方案来获得Windows用户名，或者，将用户转向登录页面。
简介
我曾经遇到很多ASP.NET开发人员问到如何使用Forms和Windows混合验证。通常的回答是：“ASP.NET不支持混合验证”。不谈技术细节，让我们先从业务的角度来看一下。我们要做的是自动取得域用户名，并且将其他用户转向登录页面。这样可行吗？当然。
Forms验证
首先，需要确定要使用哪种ASP.NET验证。想要使用Forms和Windows混合验证并不容易，一个ASP.NET应用程序只能有一种验证方式，所以你只能选择其中一种。Windows验证只能提供用户名，就是ASP.NET的进程用户，或者客户端的用户名（如果在IIS里禁止了匿名登录的话）。明白了这个以后，很明显，只有Forms验证才是可以定制的。
我们来对程序中的web.config设置Forms验证。需要指出的是，你要确定你的ASP.NET应用程序是一个IIS应用，对任何验证方式这都是必须的。同时，需要在web.config里设置拒绝匿名用户。web.config中的authentication节点拥有一些属性，loginUrl定义了未验证用户将重定向到的登录页的URL。
接下来，你需要确定哪个页面将作为ASP.NET应用的loginUrl。在所有我曾经看到过的Forms验证中，是Login.aspx页。但是，你想要首先通过Windows验证用户而不是使用登录页面，所以，你的loginUrl应该是一个使用Windows集成验证的页面。于是，我们需要将Forms验证的loginUrl设置到WinLogin.aspx.
IIS Windows验证
接着，我们需要设置WinLogin.aspx页面的Windows集成验证。这里一共有几个步骤，包括，拒绝匿名访问，获取客户端Windows凭证，获取客户端Windows用户名，然后插入Forms验证中。我们将在稍后处理Windows集成验证失败的情况。WinLogin.aspx只是用来测试集成Windows验证，没有html。
我们来看如何拒绝匿名访问和取得客户端Windows证书。这个问题的描述将会使你明白IIS已经拥有了这些功能，你可以直接使用它们来解决问题。打开IIS，右键点击WinLogin.aspx文件，打开属性设置，在“文件安全性”标签中，取消选中“匿名访问”，然后选中“集成Windows身份验证”来设置这个文件的访问控制。
但是，这样并不能自动取得用户名，我们还需要做一些设置。通过跟踪页面，或者反编译WindowsAuthenticationModule中的OnEnter方法，�
首先在应用程序的WEB.CONFIG修改如下节点。
<httpHandlers>
<add verb="*" path="*.html" type="System.Web.UI.PageHandlerFactory"/>
</httpHandlers>
<assemblies>
<buildProviders>
<add ext ......
