pdfkit生成需Kerberos SSO认证网页PDF时如何配置请求头

原代码的核心错误 #

• 自定义请求头的方向完全颠倒：WWW-Authenticate是服务端在未授权响应中返回、告知客户端认证规则的响应头，绝非客户端需要主动发送的请求头，方向错配直接触发认证校验失败。
• 自定义请求头的格式错误：代码中写的头键'WWW-Authenticate:'末尾多了冒号，会被pdfkit/wkhtmltopdf内核直接当成头名称的一部分，无法和服务端的校验规则匹配。
• 没有开启Kerberos认证的核心开关：pdfkit底层基于wkhtmltopdf实现，默认不会自动读取系统的Kerberos票据缓存完成Negotiate交互，相当于完全跳过了SSO认证流程。

必要的配置与请求逻辑说明 #

针对基于Negotiate的Kerberos SSO认证，客户端实际需要发送的有效请求头是Authorization: Negotiate <base64编码的有效Kerberos票据>，这个头不需要手动硬编码写入：

1. pdfkit/wkhtmltopdf提供了专门的Kerberos支持开关，开启后内核会自动完成整个认证交互流程：从系统本地的票据缓存中读取有效票据，动态组装符合要求的Authorization头发送，遇到服务端的认证挑战时还能自动响应二次校验，和浏览器的SSO认证逻辑完全一致。
2. 不需要主动设置WWW-Authenticate相关的自定义头，这个头属于服务端返回的内容，客户端发送反而会触发逻辑异常。

可直接运行的修正代码 #

import pdfkit

options = {
    # 开启wkhtmltopdf的Kerberos认证支持，自动读取系统缓存的有效票据
    'krb': None,
    # 内网自签名HTTPS站点场景需要开启，跳过SSL证书校验避免握手提前失败
    'ignore-ssl-errors': None
}

pdfkit.from_url(
    '你的目标SSO站点URL',
    'shaurya.pdf',
    options=options
)

落地注意事项 #

• 运行代码前，必须先在当前终端环境执行kinit命令，输入Kerberos账号凭证获取有效本地票据缓存，否则内核找不到可用于认证的票据，依然会返回401未授权错误。
• 不要手动拼接静态的Authorization: Negotiate <票据内容>自定义头，静态票据无法应对服务端的二次认证挑战，很快就会因为时效过期、校验不匹配触发失败。

内容的提问来源于stack exchange，提问作者sorabh jain