PHP实现无NTLM认证弹窗自动获取Windows用户名

咱们先搞清楚为啥现在会弹认证窗口：你当前的代码是标准的NTLM挑战-响应流程，第一步就返回401未授权，浏览器收到这个响应后，默认会弹出凭据输入框，除非它能自动识别站点属于信任区域，主动发送当前用户的NTLM凭据。

要实现无弹窗自动获取用户名，得从环境配置和代码优化两方面入手：

一、先搞定浏览器和服务器的信任环境 #

这是自动认证的前提，缺一不可：

• 你的Apache服务器必须跑在Windows系统上，最好是加入了公司域（如果是工作组环境，客户端和服务器得在同一工作组）
• 把你的网站加入浏览器的本地Intranet区域，并开启自动登录：
  • Chrome：设置→隐私和安全→网站设置→附加权限→自动登录→添加你的站点URL
  • IE/Edge：打开Internet选项→安全→本地Intranet→站点→添加你的网址，然后点“自定义级别”，找到“自动登录当前用户名和密码”并启用

二、优化PHP代码，自动完成NTLM协商 #

我调整了你的代码，让它能自动处理NTLM的三个协商阶段（Type1→Type2→Type3），如果浏览器能自动发送Type1消息，就不会触发弹窗：

<?php
// 获取客户端请求头
$headers = apache_request_headers();

// NTLM认证通常无法通过代理，先检查代理情况
if (!empty($_SERVER['HTTP_VIA'])) {
    die("Proxy bypass!");
}

// 处理NTLM认证流程
if (!isset($headers['Authorization'])) {
    // 第一步：发送NTLM挑战，触发客户端发送Type1消息
    header('HTTP/1.1 401 Unauthorized');
    header('WWW-Authenticate: NTLM');
    exit;
} else if (substr($headers['Authorization'], 0, 5) === 'NTLM ') {
    $ntlmRaw = base64_decode(substr($headers['Authorization'], 5));
    
    // 判断NTLM消息类型（Type1/Type3）
    $msgType = ord($ntlmRaw[8]);
    
    if ($msgType === 1) {
        // 第二步：生成Type2挑战响应，返回给客户端
        $type2Msg = "NTLMSSP\0" . 
                    chr(0x02) . str_repeat(chr(0x00), 3) .
                    // 这里用固定挑战值，实际生产环境建议用随机值
                    chr(0x00) . chr(0x10) . str_repeat(chr(0x00), 2) .
                    str_repeat(chr(0x00), 8) .
                    str_repeat(chr(0x00), 16);
        
        header('HTTP/1.1 401 Unauthorized');
        header('WWW-Authenticate: NTLM ' . base64_encode($type2Msg));
        exit;
    } else if ($msgType === 3) {
        // 第三步：解析Type3消息，提取用户名
        // 解析域名
        $domainLen = ord($ntlmRaw[30]) + (ord($ntlmRaw[31]) << 8);
        $domainOffset = ord($ntlmRaw[32]) + (ord($ntlmRaw[33]) << 8);
        $domain = str_replace("\0", "", substr($ntlmRaw, $domainOffset, $domainLen));
        
        // 解析用户名
        $userLen = ord($ntlmRaw[38]) + (ord($ntlmRaw[39]) << 8);
        $userOffset = ord($ntlmRaw[40]) + (ord($ntlmRaw[41]) << 8);
        $username = str_replace("\0", "", substr($ntlmRaw, $userOffset, $userLen));
        
        // 解析主机名
        $hostLen = ord($ntlmRaw[46]) + (ord($ntlmRaw[47]) << 8);
        $hostOffset = ord($ntlmRaw[48]) + (ord($ntlmRaw[49]) << 8);
        $hostname = str_replace("\0", "", substr($ntlmRaw, $hostOffset, $hostLen));
        
        if (!empty($username)) {
            echo "当前登录的Windows用户名：" . $username;
        } else {
            echo "无法获取用户名，请检查认证配置！";
        }
    }
}
?>

三、额外的关键提示 #

• Apache模块：确保你的Apache启用了mod_headers模块，不然没法发送自定义的认证头
• 域环境优化：如果是公司域环境，可以通过组策略批量配置浏览器的自动登录规则，不用每个客户端手动设置
• 安全性建议：NTLM的安全性不如Kerberos，要是服务器在域里，优先考虑用mod_auth_kerb实现Kerberos认证，更安全也更顺畅
• Linux服务器注意：如果你的Apache跑在Linux上，NTLM自动认证基本没法实现，建议换用其他单点登录方案

内容的提问来源于stack exchange，提问作者Mazhar Iqbal Rana