Tomcat 8 - LDAP：NameNotFoundException 错误代码 32，剩余名称为空字符串答案

【问题标题】：Tomcat 8 - LDAP: NameNotFoundException error code 32, remaining name empty stringTomcat 8 - LDAP：NameNotFoundException 错误代码 32，剩余名称为空字符串
【发布时间】：2017-01-15 06:58:35
【问题描述】：

尝试将应用程序从 WebLogic 12.2.1 迁移到 Tomcat 8.5.4，Weblogic 下的条目是 Foreign JNDI Providers对于 LDAP 连接已迁移到 Tomcat 下的新 Resource。

继 Stack Overflow 上的 this advice 之后，自定义 LdapContextFactory 已被打包为 Tomcat lib 文件夹下的新 jar 文件。

在 Tomcat server.xml 文件中，已配置以下 GlobalNamingResources/Resource：

    <Resource name="ldapConnection" 
        auth="Container"
        type="javax.naming.ldap.LdapContext"
        factory="com.sample.custom.LdapContextFactory"
        singleton="false"
        java.naming.referral="follow"
        java.naming.factory.initial="com.sun.jndi.ldap.LdapCtxFactory"
        java.naming.provider.url="ldap://some.host:389"
        java.naming.security.authentication="simple"
        java.naming.security.principal="CN=some,OU=some,OU=some,DC=some,DC=a,DC=b"
        java.naming.security.credentials="password"
        com.sun.jndi.ldap.connect.pool="true"
        com.sun.jndi.ldap.connect.pool.maxsize="10"
        com.sun.jndi.ldap.connect.pool.prefsize="4"
        com.sun.jndi.ldap.connect.pool.timeout="30000" />

通过 LDAP 浏览器（如 Eclipse 中嵌入的 Apache Directory Studio / LDAP 浏览器）浏览 LDAP 目录时，上述连接工作正常。

自定义com.sample.custom.LdapContextFactory很简单：

public class LdapContextFactory implements ObjectFactory {

    public Object getObjectInstance(Object obj, Name name, Context nameCtx, Hashtable<?, ?> environment)
            throws Exception {

        Hashtable<Object, Object> env = new Hashtable<>();
        Reference reference = (Reference) obj;
        Enumeration<RefAddr> references = reference.getAll();

        while (references.hasMoreElements()) {
            RefAddr address = references.nextElement();
            String type = address.getType();
            String content = (String) address.getContent();
            env.put(type, content);
        }
        return new InitialLdapContext(env, null);
    }
}

但是，Tomcat 在启动时会抛出以下异常：

07-Sep-2016 15:04:01.064 SEVERE [main] org.apache.catalina.mbeans.GlobalResourcesLifecycleListener.createMBeans Exception processing Global JNDI Resources
 javax.naming.NameNotFoundException: [LDAP: error code 32 - 0000208D: NameErr: DSID-031001E5, problem 2001 (NO_OBJECT), data 0, best match of:
    ''
 ]; remaining name ''
    at com.sun.jndi.ldap.LdapCtx.mapErrorCode(LdapCtx.java:3160)
    at com.sun.jndi.ldap.LdapCtx.processReturnCode(LdapCtx.java:3081)
    at com.sun.jndi.ldap.LdapCtx.processReturnCode(LdapCtx.java:2888)
    at com.sun.jndi.ldap.LdapCtx.c_listBindings(LdapCtx.java:1189)
    at com.sun.jndi.toolkit.ctx.ComponentContext.p_listBindings(ComponentContext.java:592)
    at com.sun.jndi.toolkit.ctx.PartialCompositeContext.listBindings(PartialCompositeContext.java:330)
    at com.sun.jndi.toolkit.ctx.PartialCompositeContext.listBindings(PartialCompositeContext.java:317)
    at javax.naming.InitialContext.listBindings(InitialContext.java:472)
    at org.apache.catalina.mbeans.GlobalResourcesLifecycleListener.createMBeans(GlobalResourcesLifecycleListener.java:136)
    at org.apache.catalina.mbeans.GlobalResourcesLifecycleListener.createMBeans(GlobalResourcesLifecycleListener.java:145)
    at org.apache.catalina.mbeans.GlobalResourcesLifecycleListener.createMBeans(GlobalResourcesLifecycleListener.java:110)
    at org.apache.catalina.mbeans.GlobalResourcesLifecycleListener.lifecycleEvent(GlobalResourcesLifecycleListener.java:82)
    at org.apache.catalina.util.LifecycleBase.fireLifecycleEvent(LifecycleBase.java:94)
    at org.apache.catalina.util.LifecycleBase.setStateInternal(LifecycleBase.java:401)
    at org.apache.catalina.util.LifecycleBase.setState(LifecycleBase.java:345)
    at org.apache.catalina.core.StandardServer.startInternal(StandardServer.java:784)
    at org.apache.catalina.util.LifecycleBase.start(LifecycleBase.java:152)
    at org.apache.catalina.startup.Catalina.start(Catalina.java:655)
    at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
    at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)
    at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
    at java.lang.reflect.Method.invoke(Method.java:497)
    at org.apache.catalina.startup.Bootstrap.start(Bootstrap.java:355)
    at org.apache.catalina.startup.Bootstrap.main(Bootstrap.java:495)

Similar 问题和调查表明 LDAP DN 无效，但是：

相同的 LDAP 配置可以通过 LDAP 客户端正常工作
实际上不执行任何搜索，在启动时 Tomcat 会抛出此异常而无需任何查询
错误提示空字符串 '' 为 remaining name，因此显然不是真正找不到的东西

问题：这是将 Foreign JNDI Providers 条目从 WebLogic 迁移到 Tomcat 的正确方法吗？如何修复具有空剩余名称的无效 LDAP DN 条目？会不会是缺少baseDN 在某处进行配置？

更新
根据 cmets 的建议，将 LdapContextFactory 更改为以下内容时会发生同样的错误：

public Object getObjectInstance(Object obj, Name name, Context nameCtx, Hashtable<?, ?> environment)
        throws Exception {

    Hashtable<Object, Object> env = new Hashtable<>();
    Reference reference = (Reference) obj;
    Enumeration<RefAddr> references = reference.getAll();

    String providerUrl = "no valid URL";

    while (references.hasMoreElements()) {
        RefAddr address = references.nextElement();
        String type = address.getType();
        String content = (String) address.getContent();

        switch (type) {
        case Context.PROVIDER_URL:
            env.put(Context.PROVIDER_URL, content);
            providerUrl = content;
            break;

        default:
            env.put(type, content);
            break;
        }
    }

    InitialLdapContext context = null;
    Object result = null;
    try {
        context = new InitialLdapContext(env, null);

        LOGGER.info("looking up for " + providerUrl);
        result = context.lookup(providerUrl);
    } finally {
        if (context != null) {
            context.close();
        }
    }
    LOGGER.info("Created new LDAP Context");
    return result;
}

通过日志记录确认更改，以确保正确部署。

所涉及的侦听器默认在server.xml 文件的顶部定义为

<Listener className="org.apache.catalina.mbeans.GlobalResourcesLifecycleListener" />

并且不能按照official documentation禁用：

全局资源生命周期侦听器将server.xml 中定义的全局 JNDI 资源初始化为全局资源元素的一部分。如果没有此侦听器，将无法使用任何全局资源。

同样的情况也发生在 Tomcat 版本 8.5.5 和 7.0.69 上：只需像上面那样添加新的全局资源和提供上述工厂的附加 jar，指向空的剩余名称的异常将被抛出。

【问题讨论】：

我不知道它为什么叫listBindings()。我的 LDAP 上下文工厂返回 iniitalLdapContext.lookup(url);，其中 url 是提供程序 URL，并在 finally 块中关闭 InitialLdapContext。 .
@EJP 确实看起来 here，在 mbean 创建期间它调用带有空字符串的 listBindings，这很可能是问题的原因。然后我会为此 Resource（或全部）禁用 mbean，但我找不到如何做到这一点
用我的方式试试吧。
@EJP 相同的堆栈跟踪
@A_Di-Matteo ，检查这个docs.oracle.com/javase/7/docs/technotes/guides/jndi/… 。此属性的值是以空格分隔的 LDAP 或 LDAPS URL 字符串列表，每个字符串指定 LDAP 服务器的主机名和端口号，以及要使用的命名上下文的 根专有名称 . ...默认的根专有名称是空字符串。如果未设置此属性，或者省略主机名或端口号，则使用默认值代替缺少的信息。

标签： java tomcat ldap weblogic tomcat8

【解决方案1】：

堆栈跟踪通过使用问题中提供的第一个工厂实现将 LDAP 模式 DN 附加到 java.naming.provider.url 属性而消失。

下面是在此上下文中使用的 LDAP 客户端的屏幕截图，即嵌入在 Eclipse 中的 Apache Directory Studio / LDAP 浏览器，从中可以简单地使用问题的初始值浏览相关的 LDAP。

通过将 Root 元素的模式 DN 附加到连接 URL，异常消失了，LDAP 资源现在通过 Tomcat 8 中的 JNDI 共享。

作为故障排除结果的更多详细信息：

在 Tomcat 8 中，全局资源通过全局资源侦听器处理，GlobalResourcesLifecycleListener，默认情况下在 server.xml 文件中定义。这样一个监听器 invokes 一个 context.listBindings("") 用于创建 bean，从而有效地浏览 LDAP 目录。

这种初始浏览很可能是 Tomcat 和 WebLogic 之间的区别，其中 LDAP 仅在需要时通过 JNDI 查找，因此通过直接查询，而不是在启动时使用通用查询。因此，在 Tomcat 中，LDAP url 需要更多详细信息，也就是说，作为其 url 一部分的稍微不同的配置直接指向有效的基本 DN。

来自官方WebLogic documentation：

在启动时，WebLogic Server 会尝试连接到 JNDI 源。如果连接成功，WebLogic Server 会在本地 JNDI 树中设置请求的对象和链接，使它们可供 WebLogic Server 客户端使用。

因此，连接比listBindings 更简单：

枚举绑定在命名上下文中的名称，以及绑定到它们的对象。不包括任何子上下文的内容。

【讨论】：