Spring LDAP - 绑定成功连接

Question

我正在尝试使用 Spring LDAP 和 Spring security 进行身份验证，然后查询我们的公司 LDAP。我设法使身份验证工作，但当我尝试运行搜索时，我总是遇到以下异常

为了执行此操作，必须在连接上成功完成绑定

经过大量研究，我有一个理论，即在进行身份验证之后、在可以查询之前，我需要绑定到连接。我只是不知道什么以及如何？

只是提一下 - 我可以使用 JXplorer 成功浏览和搜索我们的 LDAP，因此我的参数是正确的。

这是我的 securityContext.xml 的一部分

<security:http auto-config='true'>
    <security:intercept-url pattern="/reports/goodbye.html" 
            access="ROLE_LOGOUT" />
    <security:intercept-url pattern="/reports/**" access="ROLE_USER" />
    <security:http-basic />
    <security:logout logout-url="/reports/logout" 
            logout-success-url="/reports/goodbye.html" />
</security:http>
<security:ldap-server url="ldap://s140.foo.com:1389/dc=td,dc=foo,dc=com" />
<security:authentication-manager>
    <security:authentication-provider ref="ldapAuthProvider">
</security:authentication-provider>
</security:authentication-manager>
<!-- Security beans -->
<bean id="contextSource" class="org.springframework.security.ldap.DefaultSpringSecurityContextSource">
    <constructor-arg value="ldap://s140.foo.com:1389/dc=td,dc=foo,dc=com" />
</bean>
<bean id="ldapAuthProvider" 
   class="org.springframework.security.ldap.authentication.LdapAuthenticationProvider">
    <constructor-arg>
        <bean class="foo.bar.reporting.server.security.ldap.LdapAuthenticatorImpl">
            <property name="contextFactory" ref="contextSource" />
            <property name="principalPrefix" value="TD\" />
            <property name="employee" ref="employee"></property>
        </bean>
    </constructor-arg>
    <constructor-arg>
      <bean class="foo.bar.reporting.server.security.ldap.LdapAuthoritiesPopulator" />
    </constructor-arg>
</bean>
<!-- DAOs -->
<bean id="ldapTemplate" class="org.springframework.ldap.core.LdapTemplate">
  <constructor-arg ref="contextSource" />

以下是来自 LdapAuthenticatorImpl 的执行身份验证的代码片段。这里没问题：

@Override
public DirContextOperations authenticate(final Authentication authentication) {
    // Grab the username and password out of the authentication object.
    final String name = authentication.getName();
    final String principal = this.principalPrefix + name;
    String password = "";
    if (authentication.getCredentials() != null) {
        password = authentication.getCredentials().toString();
    }
    if (!("".equals(principal.trim())) && !("".equals(password.trim()))) {
        final InitialLdapContext ldapContext = (InitialLdapContext)
     this.contextFactory.getContext(principal, password);
        // We need to pass the context back out, so that the auth provider 
        // can add it to the Authentication object.
        final DirContextOperations authAdapter = new DirContextAdapter();
        authAdapter.addAttributeValue("ldapContext", ldapContext);
        this.employee.setqId(name);
        return authAdapter;
    } else {
        throw new BadCredentialsException("Blank username and/or password!");
    }
}

这是来自 EmployeeDao 的另一个代码片段，我徒劳地尝试查询：

public List<Employee> queryEmployeesByName(String query) 
   throws BARServerException {
    AndFilter filter = new AndFilter();
    filter.and(new EqualsFilter("objectclass", "person"));
    filter.and(new WhitespaceWildcardsFilter("cn", query));
    try {
        // the following line throws bind exception
        List result = ldapTemplate.search(BASE, filter.encode(), 
            new AttributesMapper() {
            @Override
            public Employee mapFromAttributes(Attributes attrs) 
                throws NamingException {
                Employee emp = new Employee((String) attrs.get("cn").get(), 
                   (String) attrs.get("cn").get(),
                        (String) attrs.get("cn").get());
                return emp;
            }
        });
        return result;
    } catch (Exception e) { 
        throw new BarServerException("Failed to query LDAP", e);
    }
}

最后 - 我遇到的异常

org.springframework.ldap.UncategorizedLdapException: 
    Uncategorized exception occured during LDAP processing; nested exception is 
    javax.naming.NamingException: [LDAP: error code 1 - 00000000: LdapErr: 
    DSID-0C090627, comment: In order to perform this operation a successful bind 
    must be completed on the connection., data 0, vece]; remaining name 
    'DC=TD,DC=FOO,DC=COM'

Answer 1

您的 LDAP 似乎已配置为不允许在未绑定到它的情况下进行搜索（无匿名绑定）。此外，您还实现了 PasswordComparisonAuthenticator 而不是 BindAuthenticator 到 对 LDAP 进行身份验证。

您可以尝试修改 queryEmployeesByName() 方法进行绑定，然后进行搜索，查看 文档。

Answer 2

我将接受@Raghuram 的回答，主要是因为它让我朝着正确的方向思考。

为什么我的代码失败了？事实证明 - 我连接它的方式我试图执行系统禁止的匿名搜索 - 因此出现错误。

如何重新连接上面的示例以使其工作？首先（也是丑陋的事情）您需要提供将用于访问系统的用户的用户名和密码。非常违反直觉，即使您登录并经过身份验证，即使您使用 BindAuthenticator 系统也不会尝试重用您的凭据。真糟糕。因此，您需要将 2 个参数粘贴到 contextSource 定义中，如下所示：

   <bean id="contextSource" class="org.springframework.security.ldap.DefaultSpringSecurityContextSource">
    <constructor-arg value="ldap://foo.com:389/dc=td,dc=foo,dc=com" />
    <!-- TODO - need to hide this or encrypt a password -->
    <property name="userDn" value="CN=admin,OU=Application,DC=TD,DC=FOO,DC=COM" />
    <property name="password" value="blah" />
</bean>

这样做允许我用通用 BindAuthenticator 替换身份验证器的自定义实现，然后我的 Java 搜索开始工作

Answer 3

我遇到了同样的错误，找不到解决方案。
最后，我将应用程序池身份更改为网络服务，一切都非常顺利。
（我的网站上启用了 Windows 身份验证和匿名）