永久 LDAP 验证会话

Question

我正在尝试构建一个简单的基于网络的目录导航/管理应用程序。

应用程序要求：

• Active Directory（或其他目录服务）域用户访问 此 Web 应用程序并使用相同的域用户/密码登录 证书。
• 然后用户可以导航目录树，创建/编辑条目， 编辑条目的属性等。

我使用 perl Net::LDAP 进行 ldap 操作，如下所示：

#!/usr/bin/perl -wT

use Net::LDAP;
use CGI qw(:standard);
use CGI::Carp qw(warningsToBrowser fatalsToBrowser);

my $ssl = 1;
my $srv = '192.168.56.110';
my $uri = $ssl ? 'ldaps://' : 'ldap://';

my $c = Net::LDAP->new($uri . $srv) or
    die "Unable to connect to server: $@\n";

# !!! This is a temporary workaround !!!
my $binddn = "cn=Administrator,cn=users,dc=example,dc=com";
my $passwd = "password";

my $mesg = $c->bind($binddn, password => $passwd);
die 'Unable to bind: ' . $mesg->error . "\n" if $mesg->code;

# DN to be deleted
my $dn = param('DN');

$mesg = $c->delete($dn);
die 'Error in delete: '. $mesg->error() ."\n" if $mesg->code();

$c->unbind;

我可以使用 HTML 表单调用此 cgi 脚本，如下所示：

<form action="/cgi-bin/del.cgi" method="post">
<br>Peter Parker
<input type="radio" name="DN"
    value="cn=peter parker,cn=users,dc=example,dc=com">
<br>Clark Kent
<input type="radio" name="DN"
    value="cn=clark kent,cn=users,dc=example,dc=com">
<br>
<input type="submit" value="Delete User">
</form>

这段代码的问题是 ldap 操作是使用管理凭据，而不是运行 Web 应用程序的用户的凭据。我正在使用此解决方法，因为我不能每次都询问用户他/她的凭据..并且我不知道如何保持用户永久经过身份验证。

我的 Web 应用程序通过 ldap 对用户进行身份验证，询问他的凭据并向目录服务发出绑定请求，如下所示：

...
# read user supplied credentials
my $user_id = param('user_id');
my $password = param('password');

# now find the DN of user_id in directory
my $ssl = 1;
my $srv = '192.168.56.110';
my $uri = $ssl ? 'ldaps://' : 'ldap://';

my $c = Net::LDAP->new($uri . $srv) or
    die "Unable to connect to server: $@";

# admin credentials are needed here to find the user DN
my $rootdn = "cn=Administrator,cn=users,dc=example,dc=com";
my $rootpw = "secret";

my $mesg = $c->bind($rootdn, password => $rootpw);
die "Unable to bind: ". $mesg->error if $mesg->code;

$mesg = $c->search(
    base    => 'dc=example,dc=com',
    scope   => 'sub',
    filter  => "(&(objectClass=user)(sAMAccountName=$user_id))",
    attrs   => ['sAMAccountName'],
);
die "Bad search: ". $mesg->error() if $mesg->code();

my ($entry) = $mesg->entries;
die "User not found: $user_id\n" unless $entry;

my $dn = $entry->dn;

# User DN found.. now check the credentials
$mesg = $c->bind($dn, password => $password);
die "Unable to bind: ". $mesg->error if $mesg->code;

$c->unbind();

# credentials validated!
print header, start_html('Welcome!'), h1('Hello, YOU!'), end_html;

之后，将 cookie 发送到启动 Web 会话的用户浏览器。 我可以将用户凭据保存在数据库中，然后在需要时随时将其传递给 del.cgi （和其他类似的脚本）..但我认为这不是良好的安全实践。

只要网络会话处于活动状态，我该怎么做才能保持永久的 LDAP 身份验证会话？

Answer 1

没有会议。当 LDAP 客户端连接到目录服务器时，该连接未经身份验证。绑定请求如果成功，就会建立连接的授权状态。连接将保持该授权状态，直到下一个绑定请求、客户端断开连接或服务器断开连接。根据本地设置，可以通过保持活动或类似的方式无限期地保持连接打开。或者客户端可以周期性地发送另一个绑定请求。现代、专业品质的目录服务器支持断开空闲客户端的连接，或者在经过一定时间后或在传输了一定数量的 LDAP 操作后断开客户端的连接。请注意，网络管理员可能会出于自己的原因禁止永久连接。

• LDAP 客户端应在 LDAP 请求后检查响应控制。未能检查响应控制将导致客户端丢失来自服务器的重要信息。
• LDAP 客户端必须知道服务器可以以扩展结果的形式发送未经请求的通知。未能处理未经请求的通知可能会导致 LDAP 客户端表现不佳。大多数通知都是断开连接通知，这意味着服务器出于某种原因正在断开客户端连接。

请参阅“LDAP：编程实践”了解更多信息信息。

出于好奇，为什么要编写这样的代码？ Apache Directory Studio 是一个优秀的 LDAP 客户端。