UWP中用Windows凭据实现NTLM认证：如何获取Type2/Type3消息或现成库？

嘿，我来帮你理清楚这个问题～你手动构造Type1消息发起NTLM认证的思路没问题，但NTLM是三次握手的协议：客户端发Type1 → 服务器回Type2 → 客户端生成Type3发回去，你现在的代码只走完了第一步，当然拿不到后续的消息啦。下面给你两种解决方案，优先推荐第一种，省心又靠谱：

一、用.NET内置能力自动搞定完整流程 #

其实你已经用到了DefaultNetworkCredentials，但手动加Authorization头反而打断了HttpClient的自动NTLM协商逻辑！正确的做法是别自己构造Type1消息，让HttpClient帮你自动完成整个三次握手：

var handler = new HttpClientHandler();
handler.Credentials = System.Net.CredentialCache.DefaultNetworkCredentials;
handler.AllowAutoRedirect = true;
handler.PreAuthenticate = true; // 开启预认证，帮助触发自动NTLM流程

using var _client = new HttpClient(handler);
var request = new HttpRequestMessage(HttpMethod.Get, server.Url);
var response = await _client.SendAsync(request);
response.EnsureSuccessStatusCode(); // 确保请求成功

这样HttpClient会默默帮你搞定Type1发送、Type2接收、Type3生成发送的全流程，你完全不用手动碰任何NTLM消息的构造和解析，香得很。

二、非要手动处理消息？（不推荐，太折腾） #

如果因为特殊需求必须手动走每一步，那得按流程来：

1. 发送你构造的Type1消息，接收服务器返回的401响应，从WWW-Authenticate头里提取Base64编码的Type2消息
2. 解析Type2，拿到里面的挑战值（Challenge）
3. 用当前用户的凭据（默认凭据）结合挑战值生成Type3消息
4. 把Type3塞到Authorization头里再发一次请求

但手动解析和生成NTLM消息巨麻烦，要严格遵守协议规范（比如标志位、域信息、OS版本、加密算法这些），很容易踩坑。给你个简化的核心逻辑示例，重点是GenerateType3Message这部分得靠现成实现，别自己写：

// 第一步：发送Type1消息
var handler = new HttpClientHandler();
handler.AllowAutoRedirect = true;
using var _client = new HttpClient(handler);
var request = new HttpRequestMessage(HttpMethod.Get, server.Url);
byte[] type1Message = new byte[40] { 
    0x4E, 0x54, 0x4C, 0x4D, 0x53, 0x53, 0x50, 0x00,
    0x01, 0x00, 0x00, 0x00,
    0x97, 0x82, 0x08, 0xe2,
    0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
    0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
    0x0A, 0x00, 0x39, 0x38,
    0x00, 0x00, 0x00, 0x0f 
};
request.Headers.Add("Authorization", "NTLM " + Convert.ToBase64String(type1Message));

var response = await _client.SendAsync(request);
if (response.StatusCode == HttpStatusCode.Unauthorized)
{
    // 第二步：提取Type2消息
    var ntlmHeader = response.Headers.WwwAuthenticate.First(h => h.Scheme == "NTLM");
    var type2Base64 = ntlmHeader.Parameter;
    byte[] type2Message = Convert.FromBase64String(type2Base64);

    // 第三步：生成Type3（这里千万别自己写，用现成库实现）
    // 手动计算NTLM响应需要调用Windows API或者第三方库，.NET没有公开的现成方法
    byte[] type3Message = GenerateType3Message(type2Message, System.Net.CredentialCache.DefaultNetworkCredentials);

    // 第四步：发送Type3消息
    var secondRequest = new HttpRequestMessage(HttpMethod.Get, server.Url);
    secondRequest.Headers.Add("Authorization", "NTLM " + Convert.ToBase64String(type3Message));
    var finalResponse = await _client.SendAsync(secondRequest);
    finalResponse.EnsureSuccessStatusCode();
}

三、推荐的第三方类库 #

如果需要更灵活的NTLM控制，又不想自己啃协议细节，这些.NET库可以帮你：

• NtlmAuth：轻量级库，支持手动构造/解析所有NTLM消息，帮你处理挑战响应计算
• Microsoft.AspNetCore.Authentication.Ntlm：如果是ASP.NET Core场景，官方库不仅能处理服务端NTLM认证，其客户端逻辑也值得参考

最后再啰嗦一句：如果只是普通的客户端NTLM认证，用.NET内置的HttpClientHandler.Credentials就够了，完全没必要手动折腾消息！

内容的提问来源于stack exchange，提问作者user1820916