关于实现HTTP Basic Auth转NTLM认证的代理方案咨询

当然有可行的方案来实现你需求的「输入侧HTTP Basic认证转输出侧NTLM认证」的代理功能，结合你提到的内部SharePoint场景，我给你梳理几个靠谱的实现思路：

方案一：Apache搭配mod_proxy_ntlm模块实现 #

这是最直接的方案，利用Apache的认证模块做前端Basic验证，再通过专门的NTLM代理模块转发请求到SharePoint：

1. 配置前端HTTP Basic认证
   先在Apache上启用mod_authn_file模块，用密码文件来验证前端用户的Basic Auth凭据，配置示例：

   <Location /sharepoint>
     AuthType Basic
     AuthName "Internal SharePoint Proxy"
     # 替换为你的密码文件路径，可用htpasswd命令生成
     AuthUserFile /etc/apache2/.sharepoint_htpasswd
     Require valid-user
   </Location>
   

2. 启用NTLM代理支持
   安装并启用mod_proxy、mod_proxy_http和mod_proxy_ntlm模块（部分Linux发行版需要单独安装包，比如Debian/Ubuntu的libapache2-mod-proxy-ntlm），然后配置反向代理并开启会话保持（NTLM是基于会话的状态认证，必须保持连接复用才能正常工作）：

   ProxyPass /sharepoint http://internal-sharepoint.your-domain.com
   ProxyPassReverse /sharepoint http://internal-sharepoint.your-domain.com
   ProxyRequests Off
   ProxyPreserveHost On
   # 配置连接超时和会话存活时间，确保NTLM会话不中断
   ProxySet connectiontimeout=5 timeout=30 ttl=120
   

   这样Apache会先验证用户的Basic Auth，再把请求转换成NTLM认证格式转发给内部SharePoint，自动处理NTLM的状态会话。

方案二：使用独立的Basic-to-NTLM中转服务 #

如果Apache的模块方案满足不了你的特殊需求（比如需要自定义权限映射、额外的日志处理），可以用独立的中转工具来做转换：

• 前端依然用Apache做Basic Auth验证，然后把请求代理到一个专门的中转服务（比如Python写的ntlmaps，或者自定义的小型服务）；
• 中转服务接收到带Basic Auth的请求后，提取用户名和密码，然后用NTLM认证协议重新封装请求，转发给SharePoint服务器；
• 这种方式灵活性更高，适合需要对请求做二次处理的场景。

关键注意事项 #

• 务必确保代理层保持TCP连接复用，否则每次新连接都会触发NTLM重新认证，导致请求失败；
• 测试时可以用curl模拟请求，验证整个流程是否正常：

  curl -u your-username:your-password http://your-apache-proxy/sharepoint/test-document
  

• 如果SharePoint有严格的IP白名单限制，要确保Apache或中转服务的IP在允许列表内。

备注：内容来源于stack exchange，提问作者divB