Linux下PHP/Symfony用Windows授权访问SQL Server失败排查

核心差异：进程环境与Kerberos票据的使用逻辑 #

虽然是同一用户登录，但sqlcmd在交互式Shell中运行，而PHP/Symfony命令的执行上下文可能存在环境变量、权限或库依赖的差异，导致Kerberos认证失败，具体分以下几种情况：

1. 环境变量未正确继承 #

交互式Shell会自动加载用户的Kerberos相关环境变量（比如KRB5CCNAME，指定票据缓存文件路径），但PHP/Symfony命令如果是通过非交互式方式启动（或Shell配置未完全加载），可能无法获取这些关键变量：

• 验证：在交互式Shell执行echo $KRB5CCNAME，再在PHP中用echo getenv('KRB5CCNAME');输出对比，看是否一致。
• 解决：在PHP脚本或Symfony命令启动前手动设置环境变量，或者修改Shell配置文件（如.bashrc、.profile），确保非交互式模式也加载Kerberos相关变量。

2. Kerberos票据缓存的权限问题 #

sqlcmd会直接使用用户登录时通过kinit获取的票据缓存，但PHP进程可能因权限限制无法访问该缓存：

• 验证：执行ls -l $(echo $KRB5CCNAME | sed 's/^FILE://')，检查票据缓存文件的读权限是否对当前PHP进程开放。
• 解决：若缓存是私有模式，可在执行PHP命令前重新执行kinit生成新票据，或调整缓存文件的权限（测试环境可用，生产环境需谨慎）。

3. SQL Server SPN解析不匹配 #

报错中的MSSQLSvc/...是SQL Server的服务主体名称（SPN），sqlcmd会自动尝试多种SPN格式（带端口/不带端口、主机名/IP），但PHP的SQLSRV驱动会严格按照配置的服务器名称查找SPN，导致匹配失败：

• 验证：在Windows服务器上执行setspn -L <SQLServerServiceAccount>，确认已注册的SPN包含PHP配置中使用的服务器名称（比如MSSQLSvc/server.domain.com:1433）。
• 解决：在PHP连接配置中明确指定SPN，比如PDO连接字符串添加ServerSPN=MSSQLSvc/server.domain.com:1433，或确保服务器名称与SPN完全一致。

4. PHP驱动与系统Kerberos库版本不兼容 #

sqlcmd使用系统自带的Kerberos库，而PHP的SQLSRV/PDO_SQLSRV驱动可能链接了不同版本的Kerberos库，导致认证逻辑不一致：

• 验证：执行ldd $(which sqlcmd)和ldd $(php -r "echo ini_get('extension_dir');")/pdo_sqlsrv.so，对比两者依赖的libkrb5.so等Kerberos库版本是否一致。
• 解决：重新编译PHP驱动，使用与系统Kerberos库匹配的版本，或更新系统Kerberos库至兼容版本。

快速排查步骤 #

1. 在执行PHP命令的同一个Shell中先运行kinit获取票据，再执行PHP命令，验证是否正常。
2. 在PHP脚本中添加putenv('KRB5_TRACE=/tmp/krb5.log');，运行命令后查看/tmp/krb5.log的详细Kerberos日志，定位具体错误点。
3. 确保PHP连接配置中明确指定Kerberos认证：
   • SQLSRV驱动：'Authentication' => SQLSRV_AUTH_KERBEROS
   • PDO驱动：PDO::SQLSRV_ATTR_AUTHENTICATION => PDO::SQLSRV_AUTH_KERBEROS

内容的提问来源于stack exchange，提问作者walruz