AcceptSecurityContext （常规） 函数

AcceptSecurityContext（常规）函数使传输应用程序的服务器组件能够在服务器和远程客户端之间建立安全上下文。 远程客户端使用 InitializeSecurityContext （常规） 函数启动建立 安全上下文的过程。 服务器可能需要远程客户端的一个或多个回复令牌才能完成 安全上下文的建立。

有关将此函数用于特定 安全支持提供程序 （SSP）的信息，请参阅以下主题。

语法

SECURITY_STATUS SEC_Entry AcceptSecurityContext(
  _In_opt_    PCredHandle    phCredential,
  _Inout_opt_ PCtxtHandle    phContext,
  _In_opt_    PSecBufferDesc pInput,
  _In_        ULONG          fContextReq,
  _In_        ULONG          TargetDataRep,
  _Inout_opt_ PCtxtHandle    phNewContext,
  _Inout_opt_ PSecBufferDesc pOutput,
  _Out_       PULONG         pfContextAttr,
  _Out_opt_   PTimeStamp     ptsExpiry
);

参数

phCredential[in, optional]

服务器凭据的句柄。 服务器调用 AcquireCredentialsHandle（常规） 函数，并将SECPKG_CRED_INBOUND或SECPKG_CRED_BOTH标志设置为检索此句柄。

phContext[in, out]

指向 CtxtHandle 结构的指针。 在第一次调用 AcceptSecurityContext （常规）时，此指针为 NULL。 在后续调用中，phContext 则为首次调用在 phNewContext 参数中返回的已部分形成的上下文的句柄。

pInput[in, optional]

指向由客户端调用 InitializeSecurityContext（常规）生成的 SecBufferDesc 结构的指针，该结构包含输入缓冲区描述符。

使用 Schannel SSP 时，第一个缓冲区的类型必须为SECBUFFER_TOKEN，并且包含从客户端接收的安全令牌。 第二个缓冲区的类型应为SECBUFFER_EMPTY。

在使用 Negotiate、Kerberos 或 NTLM SSP 时，除了调用 InitializeSecurityContext （常规） 函数生成的缓冲区外，还可以通过传入类型为 SECBUFFER_CHANNEL_BINDINGS 的 SecBuffer 结构来指定通道绑定信息。 可以通过在客户端用来进行身份验证的 Schannel 上下文上调用 QueryContextAttributes （Schannel） 函数来获取通道绑定缓冲区的通道绑定信息。

fContextReq[in]

位标志，可用于指定服务器建立上下文所需的属性。 可使用逐位 OR 运算来组合位标志。 此参数可使用以下一个或多个值。

有关可能的属性标志及其含义，请参阅上下文要求。 用于此参数的标志会以 ASC_REQ 作为前缀，例如 ASC_REQ_DELEGATE。

客户端可能不支持请求的属性。 有关详细信息，请参阅 pfContextAttr 参数。

TargetDataRep[in]

目标上的数据表示形式，例如字节顺序。 此参数可为 SECURITY_NATIVE_DREP 或 SECURITY_NETWORK_DREP。

此参数不与 Schannel 或 Digest SSP 一起使用。 使用 Schannel 或 Digest SSP 时，请为此参数指定零。

phNewContext[in, out, optional]

指向 CtxtHandle 结构的指针。 在第一次调用 AcceptSecurityContext （常规）时，此指针接收新的上下文句柄。 在后续调用中，phNewContext 可与 phContext 参数中指定的句柄相同。 phNewContext 不应该是 NULL。

pOutput[in, out, optional]

包含输出缓冲区描述符的 SecBufferDesc 结构的指针。 此缓冲区将发送到客户端，以便输入到 对 InitializeSecurityContext（常规）的其他调用中。 即使此函数返回 SEC_E_OK，也可能会生成输出缓冲区。 生成的所有缓冲区均须发送回客户端应用程序。

使用 Schannel 时，在输出中，此缓冲区接收 安全上下文的令牌。 必须将此令牌发送到客户端。 该函数还可返回 SECBUFFER_EXTRA 类型的缓冲区。 此外，调用方必须传入 SECBUFFER_ALERT类型的缓冲区。 在输出中，如果生成警报，则此缓冲区包含有关该警报的信息，并且函数失败。

pfContextAttr[out]

某一变量的指针，而该变量可接收一组位标志，同时这些标志表示已建立上下文的属性。 有关各种属性的说明，请参阅上下文要求。 用于此参数的标志会以 ASC_RET 作为前缀，例如 ASC_RET_DELEGATE。

在最终函数调用成功返回之前，不要检查与安全性相关的属性。 与安全性无关的属性标志（如 ASC_RET_ALLOCATED_MEMORY 标志）可在最终返回之前进行检查。

ptsTimeStamp[out, optional]

指向接收上下文到期时间的 TimeStamp 结构的指针。 我们建议安全包始终以本地时间返回此值。

此参数应设为恒定最长时间。 对于 Digest 安全上下文或凭据或是使用 Digest SSP 时，没有过期时间。

使用 Schannel SSP 时，这是可选的。 当远程方提供用于身份验证的证书时，此参数将接收该证书的过期时间。 如果未提供证书，则返回最大时间值。

返回值

此函数将返回下列值之一。

注解

AcceptSecurityContext （常规） 函数是与 InitializeSecurityContext （常规） 函数对应的服务器。

当服务器从客户端接收请求时，服务器会使用 fContextReq 参数来指定对会话的要求。 如此一来，服务器便可指定客户端必须使用机密或已完成完整性检查的会话，同时它可拒绝无法满足该要求的客户端。 或者，服务器也可不做任何要求，且无论客户端可提供或需要什么，均会在 pfContextAttr 参数中返回。

对于支持多回合身份验证（例如，相互身份验证）的包，调用顺序如下所示：

1. 客户端将令牌传输到服务器。
2. 服务器第一次调用 AcceptSecurityContext （常规）， 这会生成一个回复令牌，然后发送到客户端。
3. 客户端接收令牌并将其传递给 InitializeSecurityContext （常规）。 如果 InitializeSecurityContext （常规） 返回SEC_E_OK，则已完成相互身份验证，并且可以开始安全会话。 如果 InitializeSecurityContext （常规） 返回错误代码，则相互身份验证协商将结束。 否则， InitializeSecurityContext 返回的安全令牌（常规） 将发送到客户端，步骤 2 和步骤 3 将重复。
4. 请勿在对 AcceptSecurityContext（常规）的并发调用中使用 phContext 值。 安全提供商中实现的线程不安全。

fContextReq 和 pfContextAttr 参数是用于表示各种上下文属性的位掩码。 有关各种属性的说明，请参阅上下文要求。

调用方负责确定最终上下文属性是否足够。 例如，如果要求建立机密性（加密）但无法成功完成，某些应用程序则可能会选择立即关闭此连接。 如果无法建立安全上下文，服务器则须通过调用 DeleteSecurityContext 函数来释放已部分创建的上下文。 有关何时调用 DeleteSecurityContext 函数的信息，请参阅 DeleteSecurityContext。

建立安全上下文后，服务器应用程序可使用 QuerySecurityContextToken 函数来检索客户端证书所映射到的用户帐户的句柄。 此外，服务器还可使用 ImpersonateSecurityContext 函数来模拟用户。

要求

另请参阅

SSPI 函数

DeleteSecurityContext

InitializeSecurityContext （常规）