如何验证域凭据（来自本机代码）？

我想针对域控制器验证一组凭据。例如。：

Username: joel
Password: splotchy
Domain:   STACKOVERFLOW

在 .NET 3.5 及更高版本中您可以使用PrincipalContext.ValidateCredentials(username, password) https://stackoverflow.com/a/327073/12597.

否则你就有麻烦了。

按照 Microsoft 知识库文章中的代码进行操作如何在 Microsoft 操作系统上验证用户凭据 http://support.microsoft.com/kb/180548，我到了你打电话的地方AcceptSecurityContext http://msdn.microsoft.com/en-us/library/windows/desktop/aa374705(v=vs.85).aspx:

ss = AcceptSecurityContext(
      @pAS._hcred,           //[in]CredHandle structure
      phContext,             //[in,out]CtxtHandle structure
      @InBuffDesc,           //[in]SecBufferDesc structure 
      0,                     //[in]context requirement flags
      SECURITY_NATIVE_DREP,  //[in]target data representation
      @pAS._hctxt,           //[in,out]CtxtHandle strcture
      @OutBuffDesc,          //[in,out]SecBufferDesc structure
      ContextAttributes,     //[out]Context attribute flags
      @Lifetime);            //[out]Timestamp struture

除非该函数失败并显示：

SEC_E_NO_AUTHENTICATING_AUTHORITY http://msdn.microsoft.com/en-us/library/windows/desktop/aa374705%28v=vs.85%29.aspx（0x80090311）

功能失败。无法联系任何机构进行身份验证。这可能是由于以下条件造成的：

• 认证方域名不正确。
• 该域不可用。
• 信任关系失败。

这将是一个有用的错误，除了我可以使用以下方法验证 .NET 3.5 中的相同凭据：

using (PrincipalContext context = new PrincipalContext(ContextType.Domain, domain))
{
    valid = context.ValidateCredentials(username, password);                
}

可能会发生什么情况，导致 .NET 可以验证一组凭据，而本机代码却不能？

Update: LogonUser也失败：

LogonUser("[email protected] /cdn-cgi/l/email-protection", null, "splotchy", 
      LOGON32_LOGON_NETWORK, LOGON32_PROVIDER_WINNT50, out token);

with

1311 - There are currently no logon servers available to service the logon request

更新二: 我已经尝试了两种首选Negotiate提供程序，以及 Windows NT4 旧版“NTLM”提供程序

String package = "Negotiate"; //"NTLM"

QuerySecurityPackageInfo(package, [out] packageInfo);
...
AcquireCredentialsHandle(
      null,                 //[in] principle
      package,              //[in] package
      SECPKG_CRED_OUTBOUND, //[in] credential use
      null,                 //[in] LogonID
      pAuthIdentity,        //[in] authData
      null,                 //[in] GetKeyFn, not used and should be null
      null,                 //[in] GetKeyArgument, not used and should be null
      credHandle,           //[out] CredHandle structure
      expires);             //[out] expiration TimeStamp structure

我认为这是为了解决与另一个相同的问题question https://stackoverflow.com/questions/9788318/what-targetname-to-use-when-calling-initializesecuritycontext-negotiate你发布的。

我有点明白你现在想做什么。让我回顾一下您在另一篇文章中写的内容。

Username  Password  Domain             Machine on domain?  Validate as
========  ========  =================  ==================  ============== 
iboyd     pass1     .                  No                  Local account 
iboyd     pass1     (empty)            No                  Local account
iboyd     pass1     stackoverflow.com  No                  Domain account
iboyd     pass1     .                  Yes                 Local account
iboyd     pass1     (empty)            Yes                 Domain account
iboyd     pass1     stackoverflow.com  Yes                 Domain account

你想要

1. 对来自您的计算机不信任的域的用户进行身份验证
2. 对来自您的计算机信任的域的用户进行身份验证
3. 验证本地用户

您可以通过与域控制器进行正确的 SSPI 握手来实现前两种情况。您在另一个问题中提到的知识库文章正在执行环回 SSPI 握手。在第一种情况下它不起作用，因为客户端计算机不信任您正在验证的域。这应该就是你看到的原因SEC_E_NO_AUTHENTICATING_AUTHORITY.

简而言之，如果您想做与

PrincipalContext.ValidateCredentials(username, password);

您需要以不同于域用户的方式处理本地用户。对于域用户，您需要调用ldap_bind_s http://msdn.microsoft.com/en-us/library/windows/desktop/aa366156%28v=vs.85%29.aspx使用给定的凭据绑定到域控制器。对于本地用户，您需要使用AD开放对象 http://msdn.microsoft.com/en-us/library/windows/desktop/aa772238%28v=vs.85%29.aspx绑定到WinnT://您的计算机名使用给定的凭据。这是什么PrincipalContext.ValidateCredentials根据我在 Reflector 中读到的内容进行操作。

我不认为有任何等效的单一原生 API 可以为您做同样的事情。