Spring SecurityLDAP检查空密码

Question

我在我的应用程序中使用LDAP身份验证。我使用以下代码：

@Override
public void configure(AuthenticationManagerBuilder auth) throws Exception {
    String domain = customProperties.getAdDomain();
    String url = customProperties.getAdUrl();
    ActiveDirectoryLdapAuthenticationProvider provider = new ActiveDirectoryLdapAuthenticationProvider(domain,url);
    provider.setConvertSubErrorCodesToExceptions(true);
    provider.setUseAuthenticationRequestCredentials(true);
    provider.setUserDetailsContextMapper(userDetailsContextMapper());
    auth.authenticationProvider(provider);
    auth.userDetailsService(new MyUserDetailsService());
}

使用空密码进行身份验证。我知道我需要插入一个空密码检查，因为在这种情况下并不是所有的LDAP服务器都返回错误。如何以及在哪里插入空白密码的检查更好？

Answer 1

除了使用activedirectoryldaphauthenticationprovider，您还可以使用Spring的LdapTemplate来定制如何根据LdapServer认证用户的实现。您可以参考这里和这里的建议来配置LDAP模板。

然后，您可以创建一个CustomAuthenticationProvider类来处理身份验证。

customauthenticationprovider . class

public class CustomAuthenticationProvider implement AuthenticationProvider{

  @Autowired
  private LdapTemplate ldapTemplate;

  @Override
  public Authentication authenticate(Authentication auth) throws AuthenticationException{
    String username = auth.getName;
    String password = auth.getCredentials().toString();

    .. Your code to check whether password is blank ..

    AndFilter andFilter = new AndFilter();
    andFilter.and(new EqualFilter("<LDAP USER ATTRIBUTE>",username))
          .and(new EqualFilter("<LDAP GROUP ATTRIBUTE>","<USER GROUP>"));

    boolean isValidUser = ldapTemplate.authenticate("",andFilter.encode(),password);

    ... Your code to complete the authentication ...

{

我更喜欢这种方法，因为它可以更好地控制如何对用户进行身份验证。这是我以前实现的示例的链接。