为什么 Firefox 一直在协商 kerberos 服务票证？

Question

我对 Kerberos 进行了一些测试，发现了一些与 Firefox 和 Kerberos 相关的奇怪行为。我有一个运行 Apache + mod_auh_kerb 的服务器，它被配置为在服务来自客户端的请求时检查 kerberos 凭据。执行 Kerberos 身份验证并拒绝没有有效凭据的用户。但是，我不明白以下内容：

一旦发出第一个请求，TGS 就会缓存在客户端的 /tmp/krb5ccXXXX 中，但网络捕获显示 firefox 会为每个连接请求一个 TGS。由于我的服务票已被缓存，那么为什么不将其重新用于其他请求？每个连接如下：

客户端 = GET index.html => 服务器
客户端 客户端 = TGS-REQ => KDC
...
客户端 客户端 = GET index.html + kerberos 有效负载 => 服务器
客户端

这不是配置问题，因为 Konqueror 会按预期执行。

有什么想法吗？

提前致谢。

PS：这对于 GET 请求来说不是什么大问题，但考虑到基于表单的上传 (POST) 数据不应两次发送到服务器！

Answer 1

我认为没有问题。 /tmp/ 中的文件表示 kerberos 票证已缓存。 Apache 在每个请求中查询身份验证，并且不应用任何缓存。 Konqueror 足够聪明，可以自己进行缓存并使用正确的票证自动响应。