Apache HttpClient配置NTLM authentication返回401未授权如何解决

你当前使用的是Apache HttpClient 3.x版本（对应GetMethod等API），配置NTLM认证的核心错误点在于NTCredentials参数错误、手动强制设置AuthScheme的逻辑不符合NTLM握手规则，具体配置方式如下：

一、全局凭证配置（推荐，无需单独配置每个HttpMethod） #

NTLM认证支持全局配置，无需为每个请求单独设置，正确的初始化代码如下：

public static HttpConnector on(String username, String password, String workstation, String domain) {
    HttpConnector connector = new HttpConnector(username, password);
    // NTCredentials四个参数依次为：用户名、密码、当前工作站主机名、服务端要求的域名
    // 工作站名可通过InetAddress.getLocalHost().getHostName()获取，无特殊要求也可传空字符串
    Credentials credentials = new NTCredentials(username, password, workstation, domain);
    // 也可指定具体的AuthScope（限定目标主机、端口）替代ANY，缩小授权范围提高安全性
    connector.getHttpClient().getState().setCredentials(AuthScope.ANY, credentials);
    // 开启自动预处理认证，减少一次握手请求
    connector.getHttpClient().getParams().setAuthenticationPreemptive(true);
    return connector;
}

二、废弃当前HttpMethod级别的配置逻辑 #

你现有configureMethod方法中的认证相关配置是错误的，会直接导致NTLM握手失败，触发服务端主动断连（就是你遇到的Connection reset by peer错误）：

• 不需要手动调用setAuthRequested(true)强制触发认证，HttpClient会自动根据服务端返回的401响应协商认证方式
• 不需要手动构造NTLMScheme，你传入的"ntlm 用户名:密码"格式完全不符合NTLMScheme的参数要求，会生成无效的认证头
• GET请求无请求体，不需要设置Content-Type请求头

正确的请求执行逻辑只需要正常构造GetMethod即可，无需额外配置认证参数：

GetMethod getMethod = new GetMethod(targetUrl);
// 仅需配置重试等业务参数
getMethod.getParams().setParameter(HttpMethodParams.RETRY_HANDLER, new DefaultHttpMethodRetryHandler(3, false));
int statusCode = connector.getHttpClient().executeMethod(getMethod);

三、常见401问题排查 #

• 用户名不需要带域名前缀，比如完整登录名是DOMAIN\user，只需要把DOMAIN填到NTCredentials的domain参数，username仅传user即可
• 确认HttpClient版本在3.1及以上，老版本不支持NTLMv2，会直接返回401
• 调试阶段不要用代理工具抓包，大部分代理会篡改NTLM握手包导致认证失败

内容的提问来源于stack exchange，提问作者Rosen Hristov