Keycloak登录表单未返回WWW-Authenticate:Negotiate头求助

核心问题确认 #

根据Keycloak官方文档要求，Kerberos认证触发时应返回带401状态码和WWW-Authenticate: Negotiate头的响应，但当前场景下该头缺失，且出现GSSException: Defective token detected警告，同时账号密码手动登录（Kerberos密码校验）正常，仅透明登录失效。

分步排查与解决 #

1. 确保会话未跳过SPNEGO挑战 #

• 测试时必须清空Keycloak相关Cookie（或使用浏览器隐私窗口），若已有有效会话，Keycloak会直接返回登录页/跳转，不会触发SPNEGO认证流程。
• 直接构造不带Cookie的请求访问授权端点：

  GET https://auth.company.com/auth/realms/{你的领域}/protocol/openid-connect/auth?response_type=code&client_id={客户端ID}&redirect_uri={回调URI}
  

2. 调整认证流程中Kerberos执行器优先级 #

• 进入Keycloak控制台→对应领域→Authentication > Flows，找到Browser流程：
  • 确保Kerberos执行器位于Browser - Forms之前，且状态为Enabled
  • 若Kerberos执行器在表单之后，仅当表单登录失败时才会触发，默认场景下会直接返回登录页，无法发送Negotiate头

3. 解决"Defective token detected"警告 #

该错误通常源于无效/空的Negotiate Token，需检查以下配置：

• 客户端域环境：确保测试机器已加入DOMAIN.LOCAL域，且当前登录用户为域用户
• Chrome白名单配置：在chrome://flags/#auth-server-whitelist中添加https://auth.company.com（仅填域名，不要带路径）
• krb5.conf有效性：确认配置中默认域、KDC地址正确，示例：

  [libdefaults]
    default_realm = DOMAIN.LOCAL
    dns_lookup_kdc = true
    dns_lookup_realm = true
  [realms]
    DOMAIN.LOCAL = {
      kdc = dc.domain.local:88
      admin_server = dc.domain.local:749
      default_domain = domain.local
    }
  

• Keytab验证：用以下命令测试keytab有效性，确保能成功获取票据：

  kinit -kt /path/to/your/keytab HTTP/auth.company.com@DOMAIN.LOCAL
  

4. 检查反向代理/过滤器对响应头的影响 #

若Keycloak部署在反向代理（Nginx/Apache）后，需确保代理未移除WWW-Authenticate头：

• Nginx配置需添加：

  proxy_pass_header WWW-Authenticate;
  

• 确认Keycloak服务器配置文件（standalone.xml/standalone-ha.xml）中spnego子系统参数正确：

  <spnego>
    <providers>
      <provider name="kerberos" enabled="true">
        <properties>
          <property name="server-principal" value="HTTP/auth.company.com@DOMAIN.LOCAL"/>
          <property name="key-tab" value="/opt/keycloak/conf/krb5.keytab"/>
          <property name="remove-realm-from-principal" value="true"/>
        </properties>
      </provider>
    </providers>
  </spnego>
  

5. 区分"Use Kerberos for password"与SPNEGO流程 #

• "Use Kerberos for password"仅用于账号密码登录时的Kerberos校验，与SPNEGO透明登录为独立流程，无需依赖该选项实现透明登录。

内容的提问来源于stack exchange，提问作者Greg Semenov