MSSQL JDBC连接下Kerberos票据过期致应用故障问题咨询

算力阿峰

2026-5-25

解决Java应用Kerberos票据过期后无法连接MSSQL的问题

我来帮你梳理下这个问题的根源和可行的解决方案——这在Windows环境下用JDBC结合Kerberos认证连接MSSQL时是个挺典型的场景。

问题根源

默认情况下，Microsoft JDBC Driver for SQL Server在使用integratedSecurity=true时，会依赖Windows的SSPI（Security Support Provider Interface）来获取Kerberos票据，但这个模式下驱动只会在初始化连接时获取一次票据，后续不会自动刷新。当7天的票据有效期过了之后，新的连接请求会因为没有有效票据失败，而现有连接也会逐渐失效，最终导致应用无法正常工作，必须重启才能重新获取票据。

解决方案

下面是几个逐步推进的解决办法，你可以按顺序尝试：

1. 升级JDBC驱动到最新版本

首先确保你用的是Microsoft JDBC Driver 7.0 for SQL Server及以上版本，旧版本的驱动对Kerberos票据自动续期的支持不完善，升级后能解决很多底层的认证问题。

2. 修改连接字符串，启用Java Kerberos认证模式

在原有连接字符串中添加authenticationScheme=JavaKerberos参数，让驱动使用Java自带的Kerberos实现来处理认证，这个模式下驱动会自动负责票据的续期工作。修改后的连接字符串如下：

String url = "jdbc:sqlserver://MyServer;integratedSecurity=true;authenticationScheme=JavaKerberos;";

3. 配置Java Kerberos参数

确保Java能正确读取Kerberos配置：

Windows环境下，Java默认会读取C:\Windows\krb5.ini文件（如果没有，可以从AD域控制器的C:\Windows\System32\krb5.ini复制一份），文件里要包含你的域Realm和KDC信息，比如：
```
[libdefaults]
  default_realm = YOURDOMAIN.COM
  dns_lookup_kdc = true
  dns_lookup_realm = true
[realms]
  YOURDOMAIN.COM = {
    kdc = dc.yourdomain.com
    admin_server = dc.yourdomain.com
  }
```
也可以通过JVM启动参数指定配置文件路径：
```
-Djava.security.krb5.conf=C:\path\to\krb5.ini
```

4. 调整连接池配置（如果使用了连接池）

如果你的应用用了连接池（比如HikariCP、Tomcat JDBC Pool），需要让连接池定期验证并重建连接，避免持有过期票据：

设置validationQuery为SELECT 1，用来验证连接有效性
开启testOnBorrow或testWhileIdle，确保每次获取连接时都检查有效性
设置maxLifetime小于Kerberos票据有效期（比如设为1天，即86400000毫秒），强制连接池定期替换旧连接

以HikariCP为例，配置示例：

hikari.jdbcUrl=jdbc:sqlserver://MyServer;integratedSecurity=true;authenticationScheme=JavaKerberos;
hikari.username=
hikari.password=
hikari.validationQuery=SELECT 1
hikari.testOnBorrow=true
hikari.maxLifetime=86400000
hikari.idleTimeout=3600000

5. 验证MSSQL的SPN配置

确保MSSQL服务器的服务主体名称（SPN）已正确配置，这是Kerberos认证的基础：

用setspn -L MSSQLServiceAccount命令查看绑定到MSSQL服务账号的SPN，应该包含MSSQLSvc/MyServer:1433（如果用默认端口）
如果没有，用setspn -A MSSQLSvc/MyServer:1433 MSSQLServiceAccount命令添加

测试验证

修改完配置后，你可以手动清除当前的Kerberos票据（用klist purge命令），然后测试应用是否能自动重新建立连接，不需要重启应用。如果一切正常，票据过期后驱动会自动续期，连接池也会维护有效连接。

内容的提问来源于stack exchange，提问作者AnuragM