Microsoft Office程序WebDAV Digest认证与第三方OAuth集成问题求助

方案1：Nginx反向代理层实现 Digest → OAuth 转换 #

利用Nginx（推荐用OpenResty扩展）处理Office的Digest认证请求，验证通过后将身份转换为OAuth令牌注入转发请求，适配后端服务的身份校验逻辑。

步骤：

1. 用OpenResty的Lua脚本解析Digest请求，验证用户凭证（对接LDAP或内部用户系统）：

   location /webdav {
       access_by_lua_block {
           local digest = require "resty.digest.auth"
           local auth = digest:new("webdav_realm")
           local username, password = auth:authenticate(ngx.req.get_headers()["Authorization"])
           
           if not username then
               auth:challenge()
               ngx.exit(ngx.HTTP_UNAUTHORIZED)
           end
   
           -- 验证用户名密码（示例：调用内部验证接口）
           local res = ngx.location.capture("/validate_user", {
               method = ngx.HTTP_POST,
               body = "username=" .. ngx.escape_uri(username) .. "&password=" .. ngx.escape_uri(password)
           })
           
           if res.status ~= 200 then
               auth:challenge()
               ngx.exit(ngx.HTTP_UNAUTHORIZED)
           end
   
           -- 获取OAuth令牌（示例：调用内部令牌生成接口）
           local token_res = ngx.location.capture("/generate_oauth_token", {
               method = ngx.HTTP_POST,
               body = "user_id=" .. ngx.escape_uri(res.body)
           })
           
           ngx.req.set_header("Authorization", "Bearer " .. token_res.body)
       }
   
       proxy_pass http://localhost:8000/webdav;
       proxy_set_header Host $host;
   }
   
   # 内部验证和令牌生成接口示例
   location = /validate_user {
       internal;
       proxy_pass http://your-app/validate-credentials;
   }
   
   location = /generate_oauth_token {
       internal;
       proxy_pass http://your-app/generate-token;
   }
   

2. 后端应用需提供两个内部接口：一个验证用户名密码合法性，另一个根据用户ID生成临时OAuth令牌（无需存储第三方凭证，令牌可设短有效期）。

方案2：扩展 sabre/dav 支持 Digest 认证并映射内部身份 #

直接在sabre/dav层实现Digest认证逻辑，验证通过后将用户身份映射到应用系统的权限体系，绕过OAuth令牌依赖。

步骤：

1. 自定义Digest认证后端：

   use Sabre\DAV\Auth\Backend\AbstractDigest;
   use YourApp\Services\LdapService;
   
   class LdapDigestAuth extends AbstractDigest {
       private $ldapService;
   
       public function __construct(LdapService $ldapService) {
           $this->ldapService = $ldapService;
       }
   
       protected function validateUserPass(string $username, string $password): bool {
           // 对接LDAP验证凭证
           return $this->ldapService->checkCredentials($username, $password);
       }
   
       public function getDigestHash(string $realm, string $username): ?string {
           // 不提前存储哈希，让sabre/dav调用validateUserPass验证明文密码
           return null;
       }
   
       public function getCurrentUser(): ?string {
           $user = parent::getCurrentUser();
           if ($user) {
               // 将sabre/dav的用户标识映射到应用系统的用户ID
               return $this->ldapService->getUserIdByUsername($user);
           }
           return null;
       }
   }
   

2. 配置sabre/dav启用自定义认证：

   $ldapService = new YourApp\Services\LdapService();
   $authBackend = new LdapDigestAuth($ldapService);
   $authBackend->setRealm("WebDAV");
   
   $server = new \Sabre\DAV\Server($tree);
   $server->addPlugin(new \Sabre\DAV\Auth\Plugin($authBackend));
   

3. 调整sabre/dav的权限逻辑，使用getCurrentUser()返回的应用用户ID进行资源访问控制。

方案3：NTLM认证（限Windows域环境） #

如果客户端处于Windows域，可配置Nginx或sabre/dav支持NTLM认证，Office会自动使用当前域用户凭证登录，无需手动输入密码。此方案依赖域环境，适合企业内网场景。

核心注意事项 #

• 方案1避免了后端服务的代码修改，适合快速适配现有系统；方案2更灵活，可深度整合应用的权限体系。
• 无论哪种方案，都不要存储第三方OAuth凭证，通过实时验证+临时令牌/身份映射的方式实现认证转换。

内容的提问来源于stack exchange，提问作者Vlad K