Spring Security for Active Directory按“User PrincipalName”进行搜索--有办法改变这一点吗？

Question

我仍在学习LDAP/Active Directory，如果我的术语完全错误，请纠正我：）

在我们的Java Web应用程序中，我试图使用Spring Security LDAP来保护它。我设法让Spring Security使用内存身份验证，但我们需要将其绑定到广告服务器上。

我将用com.test屏蔽我们的实际域

以下是当我试图从应用程序登录时收到的错误

13:39:55,701错误ActiveDirectoryLDAPAuthenticationProvider：133-未能找到经过身份验证的用户的目录项：johnsmit javax.naming.NameNotFoundException:[LDAP:错误html" target="_blank">代码32-0000208D:NameERR:DSID-0310020A,问题2001(NO_OBJECT),数据0,最佳匹配：'CN=Users,DC=AD,DC=Test,DC=COM'

我在Spring中使用基于类的配置，这里是我的SecurityConfiguration类

@Configuration
@EnableWebMvcSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Bean
    public ActiveDirectoryLdapAuthenticationProvider activeDirectoryLdapAuthenticationProvider() {
          provider = new ActiveDirectoryLdapAuthenticationProvider("ad.test.com", "ldap://servername.ad.test.com:389/cn=Users,dc=ad,dc=test,dc=com");

        provider.setUseAuthenticationRequestCredentials(true);


        return provider;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {

        auth.authenticationProvider(activeDirectoryLdapAuthenticationProvider());

    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.
                authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .formLogin().failureUrl("/login?error")
                .loginPage("/login")
                .permitAll()
                .and()
                .logout().logoutRequestMatcher(new AntPathRequestMatcher("/logout")).logoutSuccessUrl("/login")
                .permitAll()
                .and()
                .httpBasic();

    }
}

所以问题来了（至少我认为）...在我们的广告服务器中，我们有我们的cn、name、sAMAccountName和uid作为我们登录的用户名，在上面的例子中是johnsmit。

我们的userPrincipalName（在我们的广告服务器中）是我们的电子邮件地址so [e-mail]。

我查看了ActiveDirectoryLdapAuthenticationProvider类，它说它使用UserPrincipalName。在github上查看这里的代码，它显示它使用的是UserPrincipalName。我检查了Spring Security的较新版本，它还没有普遍可用性，但它是一样的。

一定有办法，我可以用用户名“johnsmit”搜索广告，而不是“[e-mail]”...

如果searchFilter是string searchFilter=“(&(objectclass=user)(SamAccountName={0}））”；这将是理想的情况，但我不知道这是否可以覆盖任何地方，而且我找不到任何文档？

Answer 1

当我发现这对解决我自己的问题非常有帮助时，我只想补充一点，@JantheGun建议的更改似乎已经折叠到Spring Security 5.0.8中。Release/Spring Boot 2.0.5

ActiveDirectoryLDAPAuthenticationProvider.setSearchFilter(String)的JavaDoc将读取：

要搜索正在进行身份验证的用户的LDAP筛选器字符串。出现的{0}被替换为用户名@domain。出现的{1}仅替换为用户名。

因此，在Spring Security 5.0.8.Release中，可以使用建议的搜索过滤器更改，而不必复制任何Spring Security类！