Weblogic启动类调用Kerberos服务报401，Main方法正常求排查

你遇到的核心问题很典型：WebLogic作为容器运行应用时Kerberos认证完全失效，独立main方法却正常工作，这大概率是WebLogic的安全框架、类加载机制或参数传递逻辑干扰了Kerberos的正常流程。下面分几个方向逐步排查：

1. 先确认WebLogic真的拿到了你的JVM参数 #

很多时候问题出在参数没传进去：

• 别用单独变量拼接JAVA_OPTIONS，直接把Kerberos参数硬写到startWebLogic.cmd的set JAVA_OPTIONS=行末尾，避免脚本解析时丢失参数。比如：

  set JAVA_OPTIONS=%JAVA_OPTIONS% -Djavax.security.auth.useSubjectCredsOnly=false -Djava.security.auth.login.config=C:\Mywork\wl12213\user_projects\domains\KSS\config\login.conf -Djava.security.krb5.conf=C:\Mywork\wl12213\user_projects\domains\KSS\config\krb5.conf -Dsun.security.krb5.debug=true
  

• 登录WebLogic管理控制台，进入服务器>配置>服务器启动，检查「参数」列表里是否包含所有Kerberos相关参数，确保域配置工具没有覆盖你的设置。
• 加-verbose:class启动参数，查看com.sun.security.auth.module.Krb5LoginModule等类的加载路径，确认是JDK自带的，不是WebLogic自带的冲突类。

2. 强制WebLogic使用你的JAAS配置 #

WebLogic有自己的安全框架，可能会忽略默认的login.conf：

• 编辑域的config.xml，添加以下配置强制指定JAAS文件：

  <security-configuration>
    <jaas-configuration-file>C:\Mywork\wl12213\user_projects\domains\KSS\config\login.conf</jaas-configuration-file>
  </security-configuration>
  

• 在创建Web Service客户端之前，代码里显式设置参数（避免WebLogic覆盖）：

  System.setProperty("javax.security.auth.useSubjectCredsOnly", "false");
  

3. 开启WebLogic专属的安全调试日志 #

光加JDK的Kerberos debug参数不够，WebLogic自己的安全日志能帮你定位问题：

• 添加WebLogic调试参数：-Dweblogic.security.debug=atn,atz,kerberos
• 查看服务器日志（servers/[你的服务器名]/logs/[你的服务器名].log），搜索Kerberos或JAAS相关条目，确认Kerberos是否被初始化。

4. 绕过WebLogic的JAX-WS传输管道 #

从异常栈能看到WebLogic用了自己的WLSHttpTransportPipe，这个管道可能没处理Negotiate认证头：

• 禁用WebLogic的自定义传输管道，强制用JDK默认实现：

  System.setProperty("weblogic.wsee.jaxws.transport.http.client.disableWLSHttpTransportPipe", "true");
  // 可选：开启HTTP请求日志，确认Negotiate头是否发送
  System.setProperty("com.sun.xml.ws.transport.http.client.HttpTransportPipe.dump", "true");
  

• 手动绑定Kerberos Subject执行请求，绕过WebLogic的安全上下文：

  LoginContext lc = new LoginContext("com.sun.security.jgss.krb5.initiate");
  lc.login();
  Subject krbSubject = lc.getSubject();
  
  Subject.doAs(krbSubject, (PrivilegedAction<GetKeystoreResponse>) () -> {
      // 在这里创建Web Service客户端并调用方法
      return keystoreService.getKeystore(request);
  });
  

5. 检查keytab的权限和路径 #

虽然main方法正常，但WebLogic的运行用户（比如Windows的Local System账户）可能没权限读keytab：

• 确保WebLogic服务用户对weblogic.keytab有读权限
• 尝试把login.conf里的keytab路径改成正斜杠（C:/Mywork/.../weblogic.keytab），避免Windows路径转义问题

内容的提问来源于stack exchange，提问作者SandMan