java - NTLM 身份验证 - 它只是一个提示（挑战），还是真的进行身份验证？

Question

我有一个 (java) web 应用程序，并且我启用了 NTLM 身份验证。

当我们的（windows）内网环境中的浏览器出现登录提示时。我看到的行为是：

NTLM 提示似乎根本没有进行任何身份验证，我可以在用户 ID 提示中键入任何随机字符串，它允许用户继续进入应用程序。提示永远不会让用户失望。

那么，我需要在服务器端检查什么来查找身份验证是否成功？

Answer 1

NTLM auth 背后的想法是登录用户无需再次明确输入其用户名和密码即可继续连接。因此，无论您的应用程序询问您什么都无关紧要（您可以自己看到），而是使用您的系统凭据。

Answer 2

NTLM 身份验证已被破坏多年——NTLM 2 与 NT 4 一起发布，所以希望人们现在已经继续前进。如果要使用 Active Directory 登录信息，则应改用 Kerberos。