Apache HttpClient 4.5.2 SPNEGO认证遇GSS_S_CONTINUE_NEEDED错误求助

我之前帮不少开发者排查过HttpClient和Waffle NegotiateSecurityFilter配合的认证问题，你遇到的GSS_S_CONTINUE_NEEDED错误是SPNEGO认证流程里的典型问题——大多是客户端没有正确处理多轮认证交互，或者配置参数没匹配上Waffle的预期。既然Chrome能正常通过Negotiate认证，说明服务器端的Waffle配置没问题，问题肯定出在HttpClient的配置细节上。

下面是一步步的排查和解决步骤：

1. 先确认依赖是否齐全 #

HttpClient 4.5.x要支持Windows下的SPNEGO/NTLM认证，必须依赖httpclient-win包，它封装了Windows系统的凭据调用逻辑，和Chrome用当前登录用户凭据的行为一致。如果用Maven，添加依赖：

<dependency>
    <groupId>org.apache.httpcomponents</groupId>
    <artifactId>httpclient</artifactId>
    <version>4.5.2</version>
</dependency>
<dependency>
    <groupId>org.apache.httpcomponents</groupId>
    <artifactId>httpclient-win</artifactId>
    <version>4.5.2</version>
</dependency>

2. 配置HttpClient支持SPNEGO+NTLM回退 #

Waffle的NegotiateSecurityFilter同时支持SPNEGO和NTLM，所以HttpClient需要配置成优先尝试SPNEGO，失败时自动回退到NTLM。关键配置点：

• 使用WindowsCredentialsProvider自动获取当前Windows用户的凭据（无需手动输入账号密码）
• 注册SPNegoSchemeFactory并开启NTLM回退
• 启用重定向，因为SPNEGO认证是多轮交互，可能会有跳转

完整代码示例：

import org.apache.http.auth.AuthSchemes;
import org.apache.http.client.CredentialsProvider;
import org.apache.http.client.config.RequestConfig;
import org.apache.http.client.methods.CloseableHttpResponse;
import org.apache.http.client.methods.HttpGet;
import org.apache.http.impl.auth.SPNegoSchemeFactory;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClientBuilder;
import org.apache.http.impl.client.auth.WindowsCredentialsProvider;
import org.apache.http.impl.conn.PoolingHttpClientConnectionManager;

public class SpnegoAuthClient {
    public static void main(String[] args) {
        // 连接管理器（可选，优化连接复用）
        PoolingHttpClientConnectionManager connManager = new PoolingHttpClientConnectionManager();
        connManager.setMaxTotal(20);
        connManager.setDefaultMaxPerRoute(10);

        // 凭据提供者：自动使用当前Windows登录用户的凭据
        CredentialsProvider credsProvider = new WindowsCredentialsProvider();

        CloseableHttpClient httpClient = HttpClientBuilder.create()
                .setConnectionManager(connManager)
                .setDefaultCredentialsProvider(credsProvider)
                // 注册SPNEGO认证 scheme，开启NTLM回退
                .setDefaultAuthSchemeRegistry(org.apache.http.impl.client.AuthSchemeRegistryBuilder.create()
                        .register(AuthSchemes.SPNEGO, new SPNegoSchemeFactory(true))
                        .build())
                // 配置请求：允许重定向，支持多轮认证交互
                .setDefaultRequestConfig(RequestConfig.custom()
                        .setRedirectsEnabled(true)
                        .setCircularRedirectsAllowed(true)
                        .setAuthenticationEnabled(true)
                        .build())
                .build();

        HttpGet request = new HttpGet("http://your-jaxrs-service-base-url/your-endpoint");
        try (CloseableHttpResponse response = httpClient.execute(request)) {
            System.out.println("认证成功，响应状态码：" + response.getStatusLine().getStatusCode());
            // 后续处理响应内容
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            try {
                httpClient.close();
            } catch (Exception ignored) {}
        }
    }
}

3. 排查日志截断问题 #

你提到日志只显示“After s...”，这是日志输出被截断了。建议把HttpClient的日志级别调到DEBUG，这样能看到完整的认证交互细节：

• 服务器返回的WWW-Authenticate头内容
• 客户端发送的Authorization头内容
• 每一轮认证的状态变化

比如在log4j2里配置：

<Logger name="org.apache.http" level="DEBUG" additivity="false">
    <AppenderRef ref="Console"/>
</Logger>

完整的DEBUG日志能帮你确认：客户端是否收到了Negotiate挑战，是否正确生成了响应，以及卡在了哪一轮交互。

4. 常见坑点提醒 #

• 非Windows环境：如果是Linux/macOS，不能用WindowsCredentialsProvider，需要配置Kerberos的krb5.conf和JAAS配置文件，手动获取Kerberos票据后传入CredentialsProvider。
• SPN正确性：确保服务端的SPN（服务主体名称）格式正确，比如HTTP/your-server-fqdn@YOUR-DOMAIN.COM，Chrome能成功说明SPN是有效的，但HttpClient可能需要显式配置SPN（如果自动检测失败）。
• 版本兼容性：4.5.2是稳定版本，但如果上述配置无效，可以尝试升级到4.5.x系列的最新版（比如4.5.14），修复了一些SPNEGO的小bug。

内容的提问来源于stack exchange，提问作者Martin Cassidy