Java 客户端调用 Windows 集成身份验证 Web 服务

Question

我正在编写一个 Java 1.5+ 客户端，需要从 IIS 托管的 Web 服务获取数据。我在 Eclipse 中创建了一个新的 Web 服务客户端，并在生成客户端代理时使用了 Java 代理客户端类型和 Apache Axis2 Web 服务运行时。 Web 服务本身在 Windows 2003 上运行，并且安全性设置为仅使用 Windows 集成身份验证。我在网上找到了许多文章，展示了如何从 Java 客户端成功连接到此 IIS 服务，但我所看到的所有内容似乎都要求我将用户名和密码放在 Java 客户端代码中的某个位置。

我的 Java 客户端将在 Windows 计算机上运行，​​该计算机与 IIS 服务位于同一 Active Directory 网络上（即我每天登录的帐户可以访问该服务）。我希望我的 Java 客户端在登录用户的上下文中运行，而无需在代码中输入登录凭据。这是我当前的代码，它可以工作，但需要我在代码中输入用户名和密码：

final NTCredentials nt = new NTCredentials("my_username", "my_password", "", "my_domain");
        final CredentialsProvider myCredentialsProvider = new CredentialsProvider() {
            public Credentials getCredentials(final AuthScheme scheme, final String host, int port, boolean proxy) throws CredentialsNotAvailableException {
                return nt; 
            }
        };

        DefaultHttpParams.getDefaultParams().setParameter("http.authentication.credential-provider", myCredentialsProvider);

但我真的不想在代码中输入用户名和密码 - 我希望它使用运行 Java 客户端的登录 Windows 用户的凭据。

我应该使用什么代码，以便它可以与登录用户的凭据连接，而无需指定用户名和密码？这可能吗？

Answer 1

我已经使用 Axis 几年了 - 然后，Axis 依赖于 Apache commons httpclient 3。通过阅读一些邮件列表，它看起来像 情况仍然如此。 （如果没有，最后一段应该会带来一些受欢迎的缓解。）

Apache commons httpclient 3 不支持 HTTP 上的“集成 Windows 身份验证”（又名与 Kerberos 协商身份验证机制，又名“SPNEGO”。）事实上，它不支持不支持 NTLMv2，仅支持 NTLMv1，这意味着您将无法在不进行修改的情况下对许多需要 NTLMv2 的 IIS 服务器进行身份验证。

虽然无可否认这是一个严厉的解决方案，但我认为最好的选择是创建一个新的 AuthScheme 来调用 Windows SSPI 库来进行身份验证。不幸的是，您需要使用 JNI 来执行此操作。幸运的是，AuthScheme 已准备好执行基于会话的质询-响应身份验证模式（SPNEGO 在这方面与 NTLM 类似，后者已受支持。）基本上，您会将输入和输出字节缓冲区进行 Base64 编码到本机 InitializeSecurityContext 调用。我承认，写起来很乏味，但我可以确认它确实允许您对 IIS 服务器执行集成 Windows 身份验证。

（不幸的是，如果您需要客户端是跨平台的，您还需要在 Unix 上编写必要的 GSSAPI 代码。）

另一种选择是编写一个使用 Java 的 Kerberos 库 (JAAS) 的新 AuthScheme。老实说，我对这些了解不多，因为它需要与系统 kerberos 库分开配置。即，在 Windows 上，您必须编写一些指向 Active Directory 服务器的 kerberos 配置文件。在我看来，这听起来并不是那么“集成”。如果您将软件分发给客户并且他们希望它“正常工作”，那么这可能不适合您。另外，虽然 JAAS 已经存在了一段时间，但我相信早期版本缺乏一些与 Active Directory 通信所需的身份验证机制，因此我认为您将需要 Java 6 运行时。

现在，如果我错了，您可以将 Axis2 与新的 Apache http-components httpclient 4 一起使用，那么您的状态就会好得多。 httpclient 4 使用 Java 的 Kerberos 库支持 SPNEGO，这意味着一旦您不必编写自己的 AuthScheme，您只需配置 C:\WINDOWS\KRB5.INI，就可以利用集成 Windows 身份验证。但是，为了避免必须配置 JAAS 的手动步骤，您仍然需要调用本机 SSPI 方法。

Answer 2

您所描述的功能不是操作系统的功能，而是 Internet Explorer 的功能。您可能应该更好地了解“Windows 身份验证”的实际工作原理（又名 NLTM HTTP 身份验证）。 JCIFS 正在删除为 servlet 容器提供此功能的 ServletFilter。不过，他们的NTLM HTTP 身份验证如何工作的基本描述很有帮助。

一旦您了解了身份验证的工作方式，您就可以实现某种 Axis 插件来提供该功能。