Kerberos SSO认证失败时如何允许未认证用户以公共权限访问

问题出在把带WWW-Authenticate:Negotiate的401响应直接返回给了顶层文档导航请求。这类响应当属浏览器HTTP协议层的认证拦截范畴，会直接中断正常页面加载流程，渲染401响应文本，既不会执行响应里的脚本，也不会自动回退流程，之前在401响应里做的所有跳转、提示逻辑都不会生效。

只有通过XHR/fetch发起的异步请求收到401认证响应时，协商失败的错误才会被JS逻辑捕获，不会触发浏览器全局错误页，这是实现认证 fallback 的核心基础。

方案一：前端静默探测+默认公共访问（推荐，兼容性最好） #

这个方案完全绕开浏览器顶层认证拦截逻辑，实现零感知SSO+公共访问自动回退，兼容所有主流浏览器：

1. 调整后端规则：所有顶层页面请求（判断请求头Accept包含text/html的导航请求）无论是否携带认证信息，都直接返回200状态码，加载前端应用骨架，禁止返回401响应。
2. 前端应用初始化时，自动发起一个同域的静默探测请求，比如调用/api/auth/kerberos-check接口：
   • 发起请求时开启凭据携带：fetch配置credentials: 'include'，XHR配置withCredentials: true
   • 这个接口保留原有Kerberos认证逻辑：无有效Authorization头时返回401+WWW-Authenticate:Negotiate
   • 注意探测请求不要提前加自定义请求头，避免触发CORS预检请求，导致Kerberos凭据无法正常携带
3. 前端根据探测结果走分支逻辑：
   • 如果探测请求返回200，且后端返回了有效域用户ID，就标记为已认证状态，加载对应用户权限的功能模块，体验和现有正常SSO流程完全一致，用户无感知
   • 如果探测请求抛出401错误、网络错误（域外访问/浏览器未配置SSO时会触发这类错误），直接跳过认证流程，以公共访客身份加载公共访问内容，后续所有接口请求默认带上自定义头X-Public-Access: 1
4. 后端接口适配：收到带X-Public-Access: 1头的请求时，不再校验Kerberos认证、不返回401，直接返回公共权限对应的响应内容。

额外可以在公共页面右上角加一个「使用域账号登录」按钮，点击后手动重新触发Kerberos探测逻辑，方便部分浏览器未自动触发协商的用户手动完成登录，不需要强制所有用户必须走认证流程。

方案二：路径级认证分离 #

如果不想改动前端探测逻辑，可以直接把认证资源和公共资源做路径拆分：

• 所有公共访问的页面、接口统一放在/public/*路径下，这个路径下的所有请求永远不返回401认证响应，直接返回公共内容
• 专门的SSO认证回调、需要鉴权的私有接口放在/auth/*、/api/private/*路径下，这些路径保留原有401+Negotiate的认证逻辑
• 前端默认加载公共路径下的页面，用户主动点击登录时再跳转到认证路径触发Kerberos协商，协商失败再跳回公共路径即可。

• 401响应内嵌JS/提示文案无效：顶层导航收到401时，浏览器不会将响应体作为正常HTML文档解析执行，直接展示原生错误页内容
• 30x重定向替代401无效：WWW-Authenticate头只有配合401状态码才会触发Kerberos协商，其他状态码下浏览器会忽略这个头，无法完成SSO
• 增加Basic认证方案无效：HTTP认证规范要求浏览器收到Basic认证声明时必须弹出凭据输入框，没有自动跳过的逻辑，会严重干扰公共访问用户的体验
• 自定义None认证方案无效：浏览器不识别非标准的WWW-Authenticate值，会直接判定为认证失败，进入错误页逻辑。

内容的提问来源于stack exchange，提问作者Andrew W. Phillips