Spring MVC中的Ldap身份验证

Question

我正在尝试为我的Spring MVC应用程序集成LDAP身份验证。如果我将contextSource设置为虚拟用户DN和相应的密码，则用户可以成功登录。我想做的是能够在不使用虚拟用户的情况下绑定ldap连接。

下面是工作原理的代码-

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http

            .authorizeRequests()
                .antMatchers("/css/**").permitAll()
                .antMatchers("/","/login**").permitAll()
                .antMatchers("/home_vm","/details/**").authenticated() 
                .antMatchers(HttpMethod.OPTIONS, "/**").permitAll()
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .defaultSuccessUrl("/home_vm", true)
                .and()
            .logout()
                .permitAll();

        http.headers().httpStrictTransportSecurity();

    }

    @Configuration
    @Profile({"default", "opt_ad_auth"})
    protected static class ActiveDirectoryAuthenticationConfiguration extends
            GlobalAuthenticationConfigurerAdapter {
        @Value("${app.ldap.url}")
        private String ldapURL;
        @Override
        public void init(AuthenticationManagerBuilder auth) throws Exception {


             DefaultSpringSecurityContextSource contextSource = new DefaultSpringSecurityContextSource(ldapURL);

           contextSource.setUserDn("cn=Dummy User,cn=Users,dc=somecompany,dc=com");



              contextSource.setPassword("mypassword");

            contextSource.setReferral("follow"); 

            contextSource.afterPropertiesSet();



                auth.ldapAuthentication()

                .userSearchFilter("(sAMAccountName={0})")

                    .contextSource(contextSource)
                    ;

        }
    }   
}

现在我已经尝试删除硬编码的userDn和密码（更新init（））-

public void init(AuthenticationManagerBuilder auth) throws Exception {   
                auth.ldapAuthentication()
                .userSearchFilter("(sAMAccountName={0})")
                .contextSource()
                .url(ldapURL)
                    ;
        }
    }

应用程序启动正常，但我遇到了一个例外——“必须在连接上成功绑定”。

Stacktrace-

org.springframework.security.authentication.InternalAuthenticationServiceException: Uncategorized exception occured during LDAP processing; nested exception is javax.naming.NamingException: [LDAP: error code 1 - 000004DC: LdapErr: DSID-0C0906E8, comment: In order to perform this operation a successful bind must be completed on the connection., data 0, v1db1

[UPDATE]我已经将init方法修改为以下内容，以便更紧密地遵循Spring教程（https://spring.io/guides/gs/authenticating-ldap/）-

public void init(AuthenticationManagerBuilder auth) throws Exception {

        auth.ldapAuthentication()
        .userDnPatterns("sAMAccountName={0}")
        .contextSource().url(ldapURL)
            ;

}

我没有得到前面提到的绑定异常，但仍然无法进行身份验证。糟糕的凭据。

Answer 1

您可以通过两种形式使用LDAP进行身份验证：

可以使用用户的完整DN（LDAP树中的完整路径）和密码进行绑定。

或者，您可以作为超级用户绑定到LDAP，可以搜索所有LDAP树。LDAP验证器查找用户DN，并将用户密码与用户条目中的密码进行比较。

在第一个代码中使用第二个系统。您需要一个可以在LDAP上绑定并找到用户条目的用户。

如果希望用户访问第二个系统，则必须提供用户条目的完整DN，而不仅仅是uid。

Answer 2

你需要分两步来完成：

1. 作为管理用户绑定到LDAP，该用户具有足够的特权来搜索树，并通过您所拥有的关于他的任何唯一信息找到该用户。
2. 使用提供的密码重新绑定到LDAP作为找到的用户的DN。
3. 断开连接。

如果全部成功，用户名存在，密码正确。如果有任何失败，您应该将其视为日志记录失败。具体来说，您不应该告诉用户失败的原因是用户名未被找到还是密码不正确：这是对attacer的信息泄漏。