AngularJS中发送Negotiate授权头的相关技术问题咨询

嘿，刚接触Negotiate授权机制的话，肯定会觉得和熟悉的Basic认证玩法完全不一样！别慌，我一步步给你拆解清楚在AngularJS里怎么处理，还有Kerberos和NTLM的核心区别。

Basic认证是直接把用户名密码Base64编码后塞到请求头里，一上来就给服务器递凭证；但Negotiate是挑战-响应模式——你不能直接发编码后的用户名密码，得先让服务器“出题”，再根据它的要求生成对应的令牌发回去。

1. 浏览器自动处理（最常用） #

大部分情况下，只要你的应用和目标服务器在同一个域（或者浏览器配置了信任该域），浏览器会自动帮你完成Negotiate的整个流程：

• 你用AngularJS的$http发普通请求就行，不用手动加Authorization头
• 服务器返回401状态码，同时带WWW-Authenticate: Negotiate头
• 浏览器自动弹出登录框（如果当前系统凭证无效的话），或者直接用当前登录用户的域/系统凭证生成Negotiate令牌，自动加到后续请求的Authorization头里

举个最简单的例子：

$http.get('/your-target-api')
  .then(function(response) {
    // 请求成功，浏览器已经自动处理了Negotiate授权
    console.log('响应数据:', response.data);
  })
  .catch(function(error) {
    // 如果401反复出现，可能是凭证无效或浏览器没配置信任域
    console.error('授权失败:', error);
  });

2. 手动生成令牌（特殊场景） #

如果需要指定非当前登录用户的凭证（比如跨域且浏览器自动处理失效），就得用第三方库生成Negotiate令牌（比如spnego.js这类库），再手动加到请求头里：

// 假设已经通过第三方库生成了Negotiate令牌的Base64字符串
const negotiateToken = '这里填生成的Base64令牌';

$http.get('/your-target-api', {
  headers: {
    'Authorization': `Negotiate ${negotiateToken}`
  }
})
.then(function(response) {
  console.log('请求成功:', response.data);
})
.catch(function(error) {
  console.error('授权失败:', error);
});

⚠️ 注意：手动生成令牌需要知道Kerberos的服务主体名称（SPN）或者NTLM的域信息，复杂度很高，一般优先用浏览器自动处理的方式。

Negotiate其实是个“包装协议”，它会优先尝试更安全高效的Kerberos，失败了才会 fallback到NTLM。区分它们可以从这几点入手：

• 看令牌开头：
  • Kerberos令牌的第一个字节是0x60（ASN.1 SEQUENCE标记）
  • NTLM令牌开头是ASCII字符串NTLMSSP（对应字节码78 84 76 77 83 83 80）
• 看运行环境：
  • Kerberos必须在域环境（比如Active Directory）下使用，性能和安全性更高
  • NTLM可以在工作组环境用，是老版本的认证协议
• 看挑战流程：Kerberos只需要1次挑战-响应，NTLM需要3次握手

• 跨域配置：如果是跨域请求，服务器必须在CORS配置里允许Authorization和WWW-Authenticate头
• 浏览器信任配置：
  • Firefox：在about:config里设置network.negotiate-auth.trusted-uris为你的服务器域名
  • Chrome：启动时加参数--auth-server-whitelist="your-domain.com"
• 别硬编码用户名密码：Negotiate的核心是利用系统/域的现有凭证，不需要手动把用户名密码编码后发送（这和Basic完全不同）

内容的提问来源于stack exchange，提问作者Kaito-Kaito