Spring Security Kerberos/SPNEGO SSO报错：GSSContext发起者名称为空

从你的描述来看，表单登录正常说明Kerberos认证提供者和LDAP用户服务的配置是没问题的，问题出在自动SPNEGO认证流程上。这个错误通常意味着服务端无法初始化有效的GSS上下文，要么是客户端没发送SPNEGO令牌，要么是服务端的Kerberos配置有缺失。下面是具体的排查和修复步骤：

1. 补全Kerberos全局配置 #

你的GlobalSunJaasKerberosConfig没有指定krb5.conf的位置，这会导致JVM无法正确加载Kerberos域和KDC信息。添加krb5.conf路径配置：

<bean class="org.springframework.security.kerberos.authentication.sun.GlobalSunJaasKerberosConfig">
    <property name="debug" value="true"/>
    <!-- 添加这行，指向你的krb5.conf文件 -->
    <property name="krb5ConfLocation" value="classpath:krb5.conf"/>
</bean>

krb5.conf的示例配置（替换成你的AD域信息）：

[libdefaults]
    default_realm = YOUR_AD_DOMAIN.COM
    dns_lookup_kdc = true
    dns_lookup_realm = true
    ticket_lifetime = 24h
    renew_lifetime = 7d
    forwardable = true

[realms]
    YOUR_AD_DOMAIN.COM = {
        kdc = dc.youradomain.com  # 你的域控制器地址
        admin_server = dc.youradomain.com
        default_domain = youradomain.com
    }

[domain_realm]
    .youradomain.com = YOUR_AD_DOMAIN.COM
    youradomain.com = YOUR_AD_DOMAIN.COM

2. 完善SPNEGO过滤器的失败处理 #

当前你的SpnegoAuthenticationProcessingFilter没有配置认证失败处理器，当SPNEGO认证失败时（比如客户端未登录AD），应该优雅跳转到登录页面，而不是直接抛出异常。修改过滤器配置：

<bean id="spnegoAuthenticationProcessingFilter" class="org.springframework.security.kerberos.web.authentication.SpnegoAuthenticationProcessingFilter">
    <property name="authenticationManager" ref="authenticationManager" />
    <!-- 添加失败处理器 -->
    <property name="authenticationFailureHandler">
        <bean class="org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler">
            <property name="defaultFailureUrl" value="/login?error=spnego" />
        </bean>
    </property>
</bean>

3. 确保SPNEGO过滤器在Spring Security链中的正确位置 #

你需要在Spring Security的HTTP配置中，把SPNEGO过滤器放到PRE_AUTH_FILTER的位置，确保它在表单登录过滤器之前执行。示例配置：

<sec:http auto-config="false" entry-point-ref="spnegoEntryPoint">
    <!-- 注册SPNEGO过滤器 -->
    <sec:custom-filter ref="spnegoAuthenticationProcessingFilter" position="PRE_AUTH_FILTER" />
    <!-- 配置私密路径的权限 -->
    <sec:intercept-url pattern="/myapp/administration/**" access="ROLE_ADMIN" />
    <!-- 表单登录配置 -->
    <sec:form-login login-page="/login" default-target-url="/myapp" />
</sec:http>

4. 验证Service Principal和Keytab的有效性 #

• 确认${myapp.kerberos.servicePrincipal}的格式正确，必须是HTTP/your-app-domain@YOUR_AD_DOMAIN.COM（比如HTTP/myapp.youradomain.com@YOUR_AD_DOMAIN.COM）
• 检查keytab文件的权限：应用服务器的运行用户必须有读取keytab的权限
• 用kinit命令测试keytab是否有效：

  kinit -kt /path/to/your/keytab HTTP/myapp.youradomain.com@YOUR_AD_DOMAIN.COM
  

  如果能成功获取票据，说明keytab和service principal是没问题的。

5. 检查客户端浏览器设置 #

确保客户端浏览器允许SPNEGO认证：

• IE/Edge：把应用域名添加到「本地Intranet」区域，开启「自动登录到Intranet区域」
• Chrome：启动时添加参数--auth-server-whitelist="*.youradomain.com"

完成这些配置后，再测试直接访问私密路径：如果客户端已登录AD，会自动完成SPNEGO认证；如果未登录，会跳转到你的登录页面，不会再抛出那个错误。

内容的提问来源于stack exchange，提问作者Shareil