Firefox无法为Vue客户端应用生成SPNEGO/Kerberos票据问题排查

问题概述 #

刚接触Web开发一周，正在开发和后端API交互的Vue应用，遇到Kerberos SSO的问题：按资料描述，请求握手正常时浏览器会自动在请求中添加Kerberos凭证，但我的应用始终触发不了这个机制。

已经确认的前置条件：

• kinit执行成功，拿到了TGT（ticket-granting-ticket）
• klist能看到AD SSO站点的对应票据
• 请求URL的SPN已在AD中创建，且其他项目使用该SPN完全正常
• CORS设置和浏览器配置（包括开启network.negotiate-auth.allow-non-fqdn）均按要求配置

用Firefox的SPNEGO调试命令：

firefox --MOZ_LOG=negotiateauth:5 --MOZ_LOG_FILE=spnego.log

日志里出现关键错误：

[Parent 105406: Main Thread]: D/negotiateauth nsHttpNegotiateAuth::ChallengeReceived URI blocked

对应Firefox源码里的判断逻辑：

bool allowed =
    TestNotInPBMode(authChannel, isProxyAuth) &&
    (TestNonFqdn(uri) || mozilla::net::auth::URIMatchesPrefPattern(
                             uri, kNegotiateAuthTrustedURIs));

已排除前两个条件（未开启隐私模式、已允许非FQDN），怀疑问题出在URIMatchesPrefPattern环节——我配置了.domain.com通配符，但无法定位具体错误。原本想搭建Firefox开发环境追踪代码，但受限于Rust 1.62版本无法运行构建脚本，卡在此处。

排查步骤 #

1. 核对network.negotiate-auth.trusted-uris的配置格式 #

Firefox的通配符匹配规则有细节需要注意：

• .domain.com仅匹配二级及以上子域名（如api.domain.com），不匹配domain.com本身；若需覆盖主域名，需额外添加domain.com
• 请求带端口（如api.domain.com:5698）不影响匹配，Firefox会忽略端口仅校验域名部分
• 配置不能有多余空格，示例正确格式：*.domain.com,.domain.com,api.domain.com（多格式覆盖不同场景）

2. 直接添加完整域名到信任列表测试 #

临时将请求的完整域名（如api.domain.com或带端口的api.domain.com:5698）添加到network.negotiate-auth.trusted-uris，重启浏览器后测试。如果能触发凭证添加，说明是通配符配置逻辑理解有误。

3. 确认请求URI的FQDN合法性 #

即使开启了allow-non-fqdn，也需检查：

• 避免使用IP地址请求，Kerberos SPN绑定的是域名，IP无法匹配
• 域名拼写无错误，比如多打/少打点符号

4. 绕开Rust版本问题的调试方法 #

无法搭建Firefox开发环境时，可通过以下方式间接排查URIMatchesPrefPattern：

• 在about:config中修改network.negotiate-auth.trusted-uris，每次修改后重启浏览器测试，验证哪种配置能生效
• 用开发者工具查看响应头，后端必须返回WWW-Authenticate: Negotiate，浏览器才会触发凭证添加；若后端未返回该头，优先排查后端配置
• 换Chrome测试，若Chrome能正常添加凭证，说明问题出在Firefox配置；若Chrome也不行，问题大概率在后端或Kerberos基础配置

5. 再次检查前端与后端的CORS配置 #

• 前端Vue使用axios时，必须设置withCredentials: true（如axios.defaults.withCredentials = true）
• 后端CORS需返回Access-Control-Allow-Credentials: true，且Access-Control-Allow-Origin不能为*，必须是前端的具体域名

总结 #

优先从trusted-uris的配置格式入手，用具体域名测试排除通配符问题；再确认后端是否返回正确的Negotiate响应头、前端是否开启withCredentials。若仍无法解决，换浏览器对比测试缩小问题范围。

内容的提问来源于stack exchange，提问作者g0pher