C#桌面应用对接Confluence/Jira的Kerberos身份认证方案咨询

问题背景 #

我正在开发一款C#桌面应用，需要从Confluence、Jira及其他工具获取页面或信息，当前用RestSharp发起API请求。用户已通过Kerberos/SAP登录Windows，且Windows、Confluence、Jira共用同一套登录凭证，注意到有人使用SSPI，想咨询是否需要针对这类已登录用户做特殊认证？

目前我能调用其他REST API，但无法访问Confluence/Jira的API，推测是认证问题，希望实现用户登录Windows后，桌面应用就能用其账号获取、操作Confluence/Jira的信息。

当前尝试的代码：

public class GetApix
{
    public static string getxxx(string url)
    {
        string info = null;
        var credentials = System.Net.CredentialCache.DefaultNetworkCredentials;

        var options = new RestClientOptions(url)
        {
            UseDefaultCredentials = false,
            Credentials = credentials
        };
        var client = new RestClient(options);

        var request = new RestRequest();
        var response = client.Get(request);

        info = response.Content.ToString();

        return info;
    }
}

调用代码：

public string xxx => GetApix.getxxx("https://confluence.xxx.yyy.cloud/api/MyPage");

我尝试过不同格式的URL（如rest/api、api/）但仍无法成功，而在Postman中无需认证，直接使用不带rest或api标签的URL就能获取响应。

解决方案 #

1. 配置SSPI/Kerberos认证 #

你需要让RestClient明确触发Kerberos协商认证，DefaultNetworkCredentials不会自动绑定到正确的协议，修改配置如下：

public static string getxxx(string url)
{
    string info = null;
    // 构建Kerberos凭证缓存
    var credentialCache = new CredentialCache();
    credentialCache.Add(new Uri(url), "Negotiate", CredentialCache.DefaultNetworkCredentials);

    var options = new RestClientOptions(url)
    {
        Credentials = credentialCache,
        UseDefaultCredentials = false
    };
    var client = new RestClient(options);

    var request = new RestRequest();
    var response = client.Get(request);

    info = response.Content.ToString();
    return info;
}

或者更简洁地开启默认凭证并触发协商：

var options = new RestClientOptions(url)
{
    UseDefaultCredentials = true,
    Authenticator = new HttpBasicAuthenticator("", "") // 空凭证触发SSPI协商
};

2. 修正API端点格式 #

Postman能访问的是页面前端URL，但Confluence/Jira的API有固定规范：

• Confluence内容API：https://confluence.xxx.yyy.cloud/rest/api/content/{页面ID}
• Jira问题API：https://jira.xxx.yyy.cloud/rest/api/2/issue/{问题Key}
  你之前用的api/MyPage不是标准API路径，这大概率是请求失败的核心原因之一。

3. 排查域内配置问题 #

如果认证仍失败，需要确认：

• 域管理员已为Confluence/Jira服务配置约束委派，允许Windows用户的凭证委派到这些服务
• 服务端已正确注册SPN（服务主体名称），Kerberos依赖SPN识别目标服务

4. 调试认证过程 #

添加日志输出请求头和响应状态，方便定位问题：

client.OnBeforeRequest = request =>
{
    Console.WriteLine($"请求地址: {request.Resource}");
    Console.WriteLine("请求头:");
    foreach (var param in request.Parameters.Where(p => p.Type == ParameterType.HttpHeader))
    {
        Console.WriteLine($"- {param.Name}: {param.Value}");
    }
};

client.OnAfterResponse = response =>
{
    Console.WriteLine($"响应状态码: {(int)response.StatusCode} {response.StatusCode}");
    Console.WriteLine($"响应内容: {response.Content}");
};

同时查看Windows事件日志中的「系统」分类，检查Kerberos相关的错误事件。

内容的提问来源于stack exchange，提问作者Lodes