Active Directory身份验证程序(&user)必须更改密码

Question

我正在尝试使用WLS 12.1.2（JAAS容器安全）中的AD身份验证器来处理这样的场景：用户被设置为“下一次登录时必须更改密码”，我知道这是在AD属性pwdlastset中设置的。如果我将特定用户的值设置为0，然后尝试登录到我的应用程序，我会在javax.servlet.http.HttpServletRequest.login（username,password）方法上得到一个ServletException，并带有一个绑定的泛型FailedLoginException，但我没有得到任何有关原因的信息。我真正需要的是来自AD的773错误代码或其他东西，以向我的应用程序代码表明这就是request.login方法抛出异常的原因。我们需要将其转换为javax.naming.authenticationException，如果我们使用新的InitialContext手动进行LDAP绑定，就会得到这个结果。不得不手动绑定以迎合类似这样的备用场景，而容器安全性处理一般的成功场景，这似乎有点奇怪。有什么想法吗？

Answer 1

解决方案是编写我们自己的身份验证提供程序&登录模块，这样我们自己就可以用用户的凭据绑定到广告，这反过来又允许我们访问确切的NamingException。该异常包含绑定失败的唯一代码（在本例中为773)，然后我们能够将其转换为适当的LoginException子类（在本例中为CredentialExpiredException）。然后在我们的web应用程序中，request.login方法接收ServletException，原因是我们的CredentialExpiredException，我们可以相应地重定向到change password页面。