java - Asp.net 中的 NTLM 身份验证

Question

阅读后this article 。我对 NTLM 身份验证有一些疑问。

当我在 asp.net 网站中应用 NTLM 时

1. 质询/响应过程是否发生在网络浏览器和 IIS 之间？
2. 成功验证后，凭据存储在客户端的哪里？因为之后我就不需要再输入用户名和密码了。因此我认为存储的凭据必须传递到服务器以通过某种方式进行身份验证。
3. 我可以只使用可用的凭据进行 SSO 吗？如果可以的话，如何制作？

Answer 1

1. 是的，IIS 向客户端发送质询，您的 Web 浏览器将根据质询计算响应。

2. 这取决于浏览器。它应该将您提供的凭据缓存在内存中，以便能够应对 future 的挑战。

3. 这也取决于浏览器。 Windows 上的某些浏览器使用 InitializeSecurityContext函数执行 NTLM/SPNEGO 身份验证。在这种情况下，如果您与远程计算机具有信任关系或者具有“影子帐户”设置(这样您在本地和远程计算机上具有相同的用户名/密码)，则应该可以使用单点登录。某些浏览器，但是，请使用他们自己的 NTLM 库，而不是使用系统身份验证机制，例如 Firefox。在这种情况下，单点登录不可用。