Java客户端AD域免密单点登录实现问题求助

看起来你已经踩了不少坑，核心问题其实是没有让Java正确读取Windows系统缓存的Kerberos Ticket，反而强制触发了凭证输入流程。下面给你一步步梳理解决方案，涵盖原生Kerberos配置和Waffle客户端的正确用法：

一、先搞定原生Kerberos的核心配置 #

你之前的java.security.krb5.conf和java.security.auth.login.config配置可能缺了关键参数，导致Java没去读系统缓存的Ticket：

1. 修正krb5.conf配置 #

确保文件指向你的AD域和KDC，替换成你的实际域信息：

[libdefaults]
    default_realm = YOUR_COMPANY.COM
    dns_lookup_kdc = true
    dns_lookup_realm = true
    ticket_lifetime = 24h
    renew_lifetime = 7d
[realms]
    YOUR_COMPANY.COM = {
        kdc = dc.your_company.com  # 你的AD域控制器地址
        admin_server = dc.your_company.com
    }
[domain_realm]
    .your_company.com = YOUR_COMPANY.COM
    your_company.com = YOUR_COMPANY.COM

2. 修正login.config配置 #

关键要开启useTicketCache=true和doNotPrompt=true，这样Java会自动读取Windows用户的Kerberos缓存，不会弹框要密码：

com.sun.security.jgss.krb5.initiate {
    com.sun.security.auth.module.Krb5LoginModule required
    useTicketCache=true
    doNotPrompt=true
    renewTGT=true
    debug=true;  # 开启调试，方便排查问题
};

二、修改代码，移除强制弹框的回调处理器 #

你之前用的DialogCallbackHandler是罪魁祸首——它会强制触发凭证输入对话框，哪怕缓存里有Ticket。直接去掉回调处理器，让LoginContext用配置自动读取缓存：

import javax.security.auth.Subject;
import javax.security.auth.login.LoginContext;
import javax.security.auth.login.LoginException;
import java.security.PrivilegedActionException;
import java.security.PrivilegedExceptionAction;

public class KerberosSSOClient {
    public static void main(String[] args) {
        try {
            // 不需要回调处理器，配置里的doNotPrompt=true会让它自动读缓存
            LoginContext lc = new LoginContext("com.sun.security.jgss.krb5.initiate");
            lc.login();
            
            Subject.doAs(lc.getSubject(), (PrivilegedExceptionAction<Void>) () -> {
                // 这里写你需要认证后执行的逻辑，比如访问Kerberos保护的服务
                System.out.println("✅ 已使用当前Windows用户的Kerberos Ticket完成免密认证");
                return null;
            });
            
            lc.logout();
        } catch (LoginException | PrivilegedActionException e) {
            System.err.println("❌ 认证失败：");
            e.printStackTrace();
        }
    }
}

三、Waffle客户端的正确打开方式 #

你之前说Waffle找不到纯客户端示例，其实Waffle可以直接获取当前Windows用户的身份，完全不需要服务端配合。核心是用WindowsAuthProviderImpl获取当前登录用户的凭证：

1. 引入依赖（Maven为例） #

<dependency>
    <groupId>com.github.waffle</groupId>
    <artifactId>waffle-jna</artifactId>
    <version>3.3.0</version>
</dependency>

2. 客户端代码示例 #

import waffle.windows.auth.IWindowsAuthProvider;
import waffle.windows.auth.IWindowsIdentity;
import waffle.windows.auth.impl.WindowsAuthProviderImpl;

public class WaffleSSOClient {
    public static void main(String[] args) {
        IWindowsAuthProvider authProvider = new WindowsAuthProviderImpl();
        // 获取当前登录的Windows用户身份
        IWindowsIdentity currentIdentity = authProvider.getCurrentWindowsIdentity();
        
        System.out.println("当前认证用户：" + currentIdentity.getFqn());
        System.out.println("用户SID：" + currentIdentity.getSidString());
        
        // 如果需要用这个身份访问Kerberos服务，Waffle也提供了对应的GSSAPI封装
        // 比如可以直接获取GSSCredential来进行后续认证
    }
}

四、排查问题的小技巧 #

• 用klist命令在Windows命令行查看当前用户的Kerberos缓存，如果没有Ticket，说明AD登录可能有问题，或者需要手动执行kinit（正常AD登录后应该自动生成）
• 给JVM加调试参数-Dsun.security.krb5.debug=true，查看Kerberos认证的详细日志，能快速定位配置或缓存读取问题
• 确保JDK版本是Java 8及以上，旧版本对Windows Kerberos缓存的支持有缺陷
• 不要用管理员权限运行Java程序（除非必要），否则可能读取不到普通用户的缓存Ticket

内容的提问来源于stack exchange，提问作者Dániel Somogyi