如何通过SPNEGO实现Http4s Scala客户端Kerberos认证？

核心问题1：GSSContext初始化逻辑错误 #

你当前的代码是用客户端自身凭证创建GSSContext，但Kerberos客户端认证的核心是针对服务器的服务主体初始化上下文，而非客户端凭证。这会导致生成的令牌无法被服务器识别。

正确的代码调整如下：

val manager = GSSManager.getInstance()
// 注意：这里必须是服务器的服务主体，格式为 HTTP/[服务器主机名]@[Kerberos领域]
val serverPrincipal = "HTTP/your-server-hostname@YOUR-KERBEROS-REALM"
val krbOid = new Oid("1.2.840.113554.1.2.2")
val serverName: GSSName = manager.createName(serverPrincipal, krbOid)

// 直接基于服务器名称创建上下文，JAAS会自动加载客户端凭证，无需手动指定
val ctx: GSSContext = manager.createContext(serverName, krbOid, null, GSSContext.DEFAULT_LIFETIME)

// 第一次初始化时，服务器未返回令牌，所以传空数组
val token = ctx.initSecContext(Array.emptyByteArray, 0, 0)
// 注意用字符串插值，你之前的代码用了${}但没加s前缀，会导致字面量输出
val headerValue = s"Negotiate ${Base64.getEncoder.encodeToString(token)}"
val header = Header("Authorization", headerValue)

核心问题2：缺失JAAS配置依赖 #

Kerberos认证需要JAAS（Java Authentication and Authorization Service）配置来加载客户端凭证（keytab或缓存票据），否则GSSAPI无法获取有效凭证生成令牌：

1. 创建JAAS配置文件（比如krb5.conf）：

Krb5Login {
    com.sun.security.auth.module.Krb5LoginModule required
    useKeyTab=true
    keyTab="/path/to/your/client.keytab"
    principal="myprincipal@here"
    storeKey=true
    useTicketCache=false;
};

2. 启动JVM时指定配置：-Djava.security.auth.login.config=/path/to/krb5.conf，或在代码中动态加载。

关于服务器的401响应 #

第一次请求返回WWW-Authenticate: Negotiate不带令牌是正常的Kerberos协商第一步，服务器只是告知客户端需要用Negotiate协议认证。你之前的问题是生成的令牌无效，所以服务器第二次仍返回401，提示未提供有效认证凭据。

能否用分开的请求完成认证？ #

可以，但手动处理GSSAPI交互容易出错。更推荐使用Http4s官方提供的http4s-jaas模块，它会自动处理Negotiate头的双向交互，无需手动编写GSSAPI代码。

内容的提问来源于stack exchange，提问作者Ostap Strashevskii