active-directory - Windows 域中的 NTLM SSO 如何工作？

Question

我使用 NodeSSPI 对 TypeScript 中的单点登录进行了概念验证。 .这有效，我获得了我在公司 AD 域中登录的用户名 - 无需输入任何帐户信息或凭据。但我想详细了解这是如何实现的，因为它可以在 IE 和 Chrome 中开箱即用。我找到了这个 MSDN article about NTLM其中说:

登录用户的用户名发送到服务器

服务器生成随机数质询并发送给客户端

客户端使用用户密码哈希加密质询并将其发送回服务器

服务器将用户名、质询和质询响应发送到 DC

DC 将 PW 与数据库进行比较，如果匹配，则对用户进行身份验证

我特别想知道第 1 步和第 2 步:这是在哪里发生的？怎么样，例如转移到服务器的用户名？它是http请求的一部分吗？我查看了来自 chrome 开发人员工具的请求，但看不到任何 header 或其他信息表明例如我的 AD 用户名发送到服务器。

请注意:这些问题仅适用于 SSO，其中 否 凭据由用户提供!因为当用户输入他的凭据时，这很清楚。

Answer 1

Is it part of the http request?

是的。如 RFC 4559 中所述，您应该看到来自服务器响应的 WWW-Authenticate: Negotiate header ，以及来自客户端的 Authorization header 。
如果开发人员工具没有显示这一点，请返回网络捕获。