Kerberos认证中WWW-Authenticate: Negotiate <value>的用途与长令牌获取

为什么初始生成的令牌只能单次使用？ #

Kerberos的Negotiate认证是双向握手流程：

• 首次调用gss_init_sec_context传入空输入令牌时，生成的是客户端初始请求令牌，仅用于触发服务器返回协商响应数据，属于握手的第一步，不具备完整的会话有效性，因此只能单次使用。
• 服务器收到该令牌后，会返回包含<value>的WWW-Authenticate: Negotiate头，此<value>是服务器端的协商响应数据（Base64编码的GSS-API令牌，内含服务票据和会话密钥相关加密信息），至此初始令牌的使命完成。

服务器返回的<value>如何使用？ #

这个<value>是后续完成安全上下文建立的关键输入，步骤如下：

1. 将<value>进行Base64解码，转换为gss_buffer_desc格式的输入令牌；
2. 复用之前创建的context上下文句柄，再次调用gss_init_sec_context：

   gss_init_sec_context(
       &minor_status, GSS_C_NO_CREDENTIAL, (gss_ctx_id_t*)context, (gss_name_t)name, GSS_KRB5_MECHANISM,
       request_flags, 0, GSS_C_NO_CHANNEL_BINDINGS, (gss_buffer_desc*)server_response_token, nullptr,
       (gss_buffer_desc*)final_session_token, &return_flags, nullptr);
   

3. 此次调用生成的final_session_token是可复用的会话令牌，后续HTTP请求只需将其Base64编码后放在Authorization: Negotiate <final_token>头中即可。

是否需要每次请求都传入空输入令牌调用gss_init_sec_context？ #

不需要，这是对Kerberos流程的误解：

• 仅第一次握手需要传入空输入令牌发起协商；
• 完成二次gss_init_sec_context调用后，会建立一个持久的安全上下文（即context句柄）；
• 后续请求可直接基于该上下文生成会话令牌，无需从头发起空输入的协商。像requests-kerberos这类库的封装逻辑，实际是优先复用已有有效上下文，而非每次重新发起初始协商。

如何获取长生命周期的令牌？ #

Kerberos安全上下文的生命周期由以下因素决定：

• KDC配置的服务票据有效期：通常为几小时，可通过KDC调整；
• GSS-API的上下文缓存：GSS-API会自动缓存已建立的有效上下文，只要上下文未过期、未被销毁，即可重复复用生成会话令牌；
• 可通过gss_inquire_context函数查询当前上下文的有效期，在过期前重新发起协商流程即可延续会话。

内容的提问来源于stack exchange，提问作者Shuzheng