Question

对于Java / Spring，我是一个新手。如果需要更多信息，请随时指出。

首先，我在Javascript（nodejs）中测试了以下代码，效果很好。

var ldap = require('ldapjs');
var client = ldap.createClient({
  url: 'ldap://xx.xx.xx.xx:389'
});

client.bind('domain\\user1', 'user1_password', function (err) {

  if (err) {
    throw err;
    return
  }
  var opts = {
    filter: '(sAMAccountName=user2)',
    scope: 'sub',
    attributes: ['l', 'sn', 'cn', 'mail', 'displayName', 'postalCode', 'physicalDeliveryOfficeName', 'telephoneNumber' ]
  };
  client.search('dc=aaa,dc=bbb,dc=ccc', opts, function(err, res) {
    res.on('searchEntry', function(entry) {
      Object.entries(entry.object).forEach(([key, value]) => {
        console.log('Found Attribute: ', key, '; value:', value)
      })
    });
  });

然后按照本指南进行操作：

http://forum.spring.io/forum/spring-projects/security/110491-how-to-modify-authority-after-loading-it-from-ldap

我将与上述相同的配置应用于spring / security.xml，例如：

<bean id="customUserContextMapper" class="com.my.own.util.CustomUserDetailsMapper"/>
<sec:authentication-manager>
  <sec:ldap-authentication-provider
    user-search-base="dc=aaa,dc=bbb,dc=ccc"
    user-search-filter="(sAMAccountName={0})"
    user-context-mapper-ref="customUserContextMapper" 
  />
</sec:authentication-manager>
<sec:ldap-server url="ldap://xx.xx.xx.xx:389/"
     manager-dn="domain\user1" 
     manager-password="user1_password" 
/>

但是失败。

如果提交（http-post）一种形式（用户名使用域\用户名），例如username=domain%5Cuser1&password=user1_password&submit=Login，则会返回原因：凭据错误 < / p>
如果提交（http-post）一种形式（用户名不包含域），例如username=user1&password=user1_password&submit=Login，则会返回 500错误：< / p>
org.springframework.ldap.NameNotFoundException：[LDAP：错误代码32-0000208D：NameErr：DSID-031001E5，问题2001（NO_OBJECT），数据0，与以下项的最佳匹配： '' ];嵌套的异常是javax.naming.NameNotFoundException：[LDAP：错误代码32-0000208D：NameErr：DSID-031001E5，问题2001（NO_OBJECT），数据0，与以下项的最佳匹配： '' ];剩余名称”

对于第一种情况，似乎该条目存在，但无法验证密码。因此返回错误的凭据。

对于第二种情况，错误似乎表明搜索过滤器错误（如CAS AD LDAP 32 error所指出）

但是我确定我输入了正确的用户名和密码，并且搜索过滤器与已经在nodejs中测试过的过滤器相同。

已经为这个问题苦苦挣扎了很长时间，但是找不到一个解决方案。

感谢任何建议和解决方案。

注意：我在class = com.my.own.util.CustomUserDetailsMapper的条目处设置了断点，但是它从未被触发，因此没有封装其代码。

Answer 1

最后，我发现下面的配置运行良好。

在<bean id="ldapAuthProvider">下构造两个参数，

第一个参数：它将验证最终用户在前端填写的用户名和密码。

第二个参数：成功通过身份验证器后，它将调用我们自己的填充器（<bean class="com.my.own.util.MyCustomLdapAuthPopulator">）来分配适当的角色或执行您想要的其他事情。

<sec:authentication-manager>  
    <sec:authentication-provider 
        ref="ldapAuthProvider"
        >  
    </sec:authentication-provider>  
</sec:authentication-manager> 

<bean id="ldapAuthProvider"  
    class="org.springframework.security.ldap.authentication.LdapAuthenticationProvider" >  
    <constructor-arg>  
        <bean id="authenticator"  
            class="org.springframework.security.ldap.authentication.BindAuthenticator">  
            <constructor-arg ref="contextSource" />  
            <property name="userSearch">  
                <bean  
                    class="org.springframework.security.ldap.search.FilterBasedLdapUserSearch">  
                    <constructor-arg value="dc=aaa,dc=bbb,dc=ccc" />  
                    <constructor-arg value="(sAMAccountName={0})" />  
                    <constructor-arg ref="contextSource" />  
                </bean>  
            </property>  
        </bean>  
    </constructor-arg>
        <constructor-arg>
            <bean class="com.my.own.util.MyCustomLdapAuthPopulator">
                <constructor-arg ref="contextSource" />
                <constructor-arg value="dc=aaa,dc=bbb,dc=ccc" />
                <property name="searchSubtree" value="true" />
                <property name="ignorePartialResultException" value="true" />
                <property name="groupSearchFilter" value="(member={0})" />
            </bean>
        </constructor-arg>
</bean> 
<bean id="contextSource"  
    class="org.springframework.security.ldap.DefaultSpringSecurityContextSource" >  
    <constructor-arg value="ldap://xx.xx.xx.xx:389/" />
    <property name="userDn" value="domain\user1" />    
    <property name="password" value="user1_password" />
</bean>

以下是我们自己的填充器的一种简单实现。

import org.springframework.security.ldap.userdetails.DefaultLdapAuthoritiesPopulator;
public class MyCustomLdapAuthPopulator extends DefaultLdapAuthoritiesPopulator {

    @Autowired
    public MyCustomLdapAuthPopulator(ContextSource contextSource, String groupSearchBase) {
        super(contextSource, groupSearchBase);
        // TODO Auto-generated constructor stub
    }

    @Override
    protected Set<GrantedAuthority> getAdditionalRoles(DirContextOperations user, String username) {
        Set<GrantedAuthority> authorities = new HashSet<GrantedAuthority>();
        authorities.add((new SimpleGrantedAuthority("ROLE_XXX")));
        return authorities;
    }
}

Java Spring LDAP Auth：始终失败，但可以很好地用于测试Node.js中的类似配置

1 个答案: