无法使用 ldap 获得具有弹簧安全性的权限

Question

我正在尝试使用 Spring Security 授权用户。到目前为止，我能够使用 ldap 对它们进行身份验证，但还无法获得授权。

我还将ldap与Apache Directory Studio连接并查询用户信息，我可以在用户中找到权限。但是 spring security ldap 配置无法收集它们。

这里是 application-config.xml 的 ldap 部分：

<sec:authentication-manager>
  <sec:ldap-authentication-provider 
    user-dn-pattern="uid={0},ou=myComp,o=myComp,dc=myComp,dc=ldap"
    group-search-base="dc=myComp,dc=ldap"
    group-search-filter="uniqueMember={0}"
    role-prefix="none" />

这里是 Apache Directory Studio 的屏幕截图以及我的信息：

如您所见，我的角色信息在我的用户的 nsRole 属性中。但是，除非我查询 nsRole 属性，否则在我的用户信息中看不到它。所以问题是，我可以通过添加/更改 ldap 配置的配置来获得这些权限，还是我必须编写自己的身份验证提供程序并连接 ldap 服务器并手动查询 nsRole 属性？

非常感谢..

注意：这是一个自定义的 java 代码，可以连接 ldap 服务器并成功查询我的用户角色。 打包 ldap;

import java.util.Hashtable;

import javax.naming.Context;
import javax.naming.NamingEnumeration;
import javax.naming.directory.Attribute;
import javax.naming.directory.Attributes;
import javax.naming.directory.SearchControls;
import javax.naming.directory.SearchResult;
import javax.naming.ldap.InitialLdapContext;
import javax.naming.ldap.LdapContext;

public class LdapTest2 {

    public static void main(String[] args) {
        Hashtable env = new Hashtable(11);
        env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
        env.put(Context.PROVIDER_URL, "ldap://myCompldap.mycomp.local:389/");
        env.put(Context.SECURITY_AUTHENTICATION, "simple");
        env.put(Context.SECURITY_PRINCIPAL, "uid=myUser,ou=myComp,o=myComp,dc=myComp,dc=ldap");
        env.put(Context.SECURITY_CREDENTIALS, "myPass");

        try {
            LdapContext ctx = new InitialLdapContext(env, null);
            ctx.setRequestControls(null);
            NamingEnumeration<?> namingEnum = ctx.search("uid=myUser,ou=myComp,o=myComp,dc=myComp,dc=ldap", "(objectClass=*)", getSimpleSearchControls());
            while (namingEnum.hasMore ()) {
                SearchResult result = (SearchResult) namingEnum.next ();
                Attributes attrs = result.getAttributes ();
                Attribute lattr = attrs.get("nsrole");

                NamingEnumeration allRoles = lattr.getAll();
                while(allRoles.hasMore()) {
                    Object role = allRoles.next();
                    System.out.println(role);
                }

            } 
            namingEnum.close();
        } catch (Exception e) {
            e.printStackTrace();
        }
    }

    private static SearchControls getSimpleSearchControls() {
        SearchControls searchControls = new SearchControls();
        searchControls.setSearchScope(SearchControls.SUBTREE_SCOPE);
        searchControls.setTimeLimit(30000);
        String[] attrIDs = {"nsRole"};
        searchControls.setReturningAttributes(attrIDs);
        return searchControls;
    }

}

Answer 1

spring security 假设你的 ldap 树是这样的。

o=myComp,dc=com,dc=tr
      |
      |----ou=users (node)
      |      |
      |      |
      |      |-----uid=myuser1,dc=myComp,dc=com,dc=tr (node)
      |      |
      |      |-----uid=myuser2,dc=myComp,dc=com,dc=tr (node)
      |
      |
      |----ou=groups (node)
             |
             |
             |-----cn=myRole (node)
                       |
                  uniqueMember: uid=myuser1,dc=myComp,dc=com,dc=tr (attribute on myRole)
                  uniqueMember: uid=myuser2,dc=myComp,dc=com,dc=tr (attribute on myRole)

但是你的 ldap 树是不同的。所以它找不到角色。你的树没有错。正如@LukeTaylor 所说，您可以使用自定义的 userDetailsContextMapper 。但是角色和用户应该在不同的节点中。如果您将角色作为属性放在用户节点上，我认为这在您想要更新角色时没有用。例如您想删除角色或更改角色名称，那么您应该更新所有用户节点。但是，如果您为每个角色创建节点，那么您只需删除或重命名一个节点。

更新：

如果你更新你的 ldap 树。它应该工作

  <sec:ldap-authentication-provider 
    user-dn-pattern="uid={0},ou=myComp,o=myComp,dc=myComp,dc=ldap"
    group-search-base="ou=groups"
    group-search-filter="roleOccupant={0}"
    role-prefix="none" />

注意：角色节点使用organizationalRole objectClass。因为 groupOfUniqueNames 至少需要一个 uniqueMember。但organizationalRole 不需要。

Answer 2

由于您的用户角色是用户目录条目的一部分，您应该能够使用自定义UserDetailsContextMapper 加载它们。将您的自定义角色加载代码移动到 mapUserFromContext 方法。您可以使用NullLdapAuthoritiesPopulator 跳过正常的角色搜索。

你需要configure the authentication provider explicitly:

<bean id="ldapAuthProvider" class="org.springframework.security.ldap.authentication.LdapAuthenticationProvider">
   <constructor-arg>
       <bean class="org.springframework.security.ldap.authentication.BindAuthenticator">
           <constructor-arg ref="contextSource"/>
           <property name="userDnPatterns">
             <list><value>uid={0},ou=myComp,o=myComp,dc=myComp,dc=ldap</value></list>
           </property>
       </bean>
   </constructor-arg>
   <constructor-arg>
       <bean class="org.springframework.security.ldap.authentication.NullLdapAuthoritiesPopulator" />
   </constructor-arg>
   <property name="userDetailsContextMapper" ref="yourContextMapperImplementation" />
</bean>