Asp.net中的NTLM身份验证

Question

阅读后this article。我有关于NTLM身份验证的一些问题。

当我在一个asp.net网站

1. 是否挑战/响应过程发生了Web浏览器和IIS之间适用NTLM？
2. 成功验证后，客户端存储的凭证在哪里？因为在此之后，我不再需要输入用户名和密码。所以我认为存储的凭证必须传递给服务器，以某种方式进行认证。
3. 我可以使用SSO的可用凭据吗？如果可以，如何制作它？

Answer 1

1. 是，IIS发送挑战到客户端，Web浏览器将计算基于挑战的响应。

2. 这取决于浏览器。它应该缓存你提供在内存中的凭据，以便它可以应对未来的挑战。

3. 这也取决于浏览器。 Windows上的某些浏览器使用InitializeSecurityContext函数来执行NTLM/SPNEGO身份验证。在这种情况下，如果您与远程计算机建立了信任关系，或者设置了“影子帐户”（例如，您在本地和远程计算机上拥有相同的用户名/密码），则应该可以使用单一登录。某些浏览器，但是，请使用自己的NTLM库，而不是使用系统身份验证机制，例如Firefox。在这种情况下，单点登录不可用。