Linux环境下.NET 7 Web应用HttpClient的NTLM认证失效问题

针对Windows环境正常、Linux容器下调用NTLM认证API返回401 Unauthorized的问题，可按以下步骤排查修复：

1. 安装Linux环境下NTLM依赖库 #

.NET在Linux上实现NTLM认证依赖Kerberos相关系统库，Ubuntu 22.04容器默认未预装。需在Dockerfile中添加安装命令：

FROM mcr.microsoft.com/dotnet/aspnet:7.0-jammy

RUN apt-get update && apt-get install -y --no-install-recommends \
    libgssapi-krb5-2 \
    libkrb5-3 \
    && rm -rf /var/lib/apt/lists/*

WORKDIR /app
COPY . .
ENTRYPOINT ["dotnet", "YourWebApp.dll"]

2. 调整HttpClientHandler认证配置 #

• 将认证方案从Negotiate改为NTLM：Linux下Negotiate会优先尝试Kerberos，若API仅支持NTLM则会失败
• 若用户是域账号，需明确指定域名：Linux不会自动填充域信息
• 关闭PreAuthenticate：NTLM是挑战响应式认证，预认证在Linux下可能导致认证头生成错误

修改后的CreateHandler方法示例：

private static HttpClientHandler CreateHandler(string username, string password, string domain) 
{
    return new HttpClientHandler {
        PreAuthenticate = false,
        UseProxy = false,
        UseDefaultCredentials = false,
        Credentials = new CredentialCache 
        {
            {
                new Uri("http://myendpoint"), 
                "NTLM", 
                new NetworkCredential(username, password, domain)
            }
        }
    };
}

3. 额外排查点 #

• 确认API端点的NTLM配置：部分服务可能限制仅接受特定客户端的NTLM请求
• 抓包验证认证流程：在容器内用tcpdump抓取请求包，检查是否完成NTLM的挑战-响应交互
• 检查容器网络：确保容器能正常访问API端点，无防火墙、代理拦截请求

内容的提问来源于stack exchange，提问作者jon doe