使用 CAS 5.3.x 和 SPNEGO (Kerberos) 身份验证，我如何获得比 SAMAccountName 更多的用户属性？
当我只使用“标准”的 LDAP 身份验证处理程序时，我可以把这个配置：
cas.authn.ldap[0].principalAttributeList=sAMAccountName,displayName,givenName,mail
但在 SPNEGO 身份验证后，我没有获得这些附加属性。
你知道怎么做吗？
【问题讨论】：
标签： authentication kerberos cas spnego
自 CAS 3.x 以来，从外部数据存储中获取属性的功能就已经存在。直到今天，这个功能都由一个名为 Person Directory 的 Apereo 项目提供，该项目是一个 Java 框架，用于从各种底层资源中解析人员和属性。它由一组组件组成，这些组件从 JDBC、LDAP 等中检索、缓存、解析、聚合和合并人员属性。 CAS 试图通过一个名为PrincipalResolver 的概念来利用这个框架，其目标是为 CAS 构造一个最终可识别的经过身份验证的主体，其中包含许多从属性存储库源获取的属性。这意味着，例如，可以在一个查询中使用 SPNEGO 进行身份验证，然后转而使用 ask LDAP、一个关系数据库和一个 Groovy 脚本来获取已解析主体的属性并将所有结果合并到一个最终集合中。
请注意，在大多数情况下，例如直接 LDAP 身份验证，从 CAS 4.x 开始，身份验证引擎已得到增强，能够从身份验证源检索和解析属性，这将消除对配置单独的属性存储库/解析器，尤其是在身份验证和属性源相同的情况下。只有在来源不同或需要处理更高级的属性解析用例（如级联、合并等）时才需要使用单独的解析器和来源。
要将 CAS 配置为对属性存储库使用外部 LDAP，请使用：
cas.authn.attribute-repository.ldap[0].attributes.uid=uid
cas.authn.attribute-repository.ldap[0].attributes.displayName=displayName
cas.authn.attribute-repository.ldap[0].attributes.cn=commonName
cas.authn.attribute-repository.ldap[0].attributes.memberOf=memberOf
cas.authn.attribute-repository.ldap[0].ldapUrl=ldap://...
cas.authn.attribute-repository.ldap[0].useSsl=false
cas.authn.attribute-repository.ldap[0].useStartTls=false
cas.authn.attribute-repository.ldap[0].baseDn=dc=example,dc=edu
cas.authn.attribute-repository.ldap[0].searchFilter=uid={0}
cas.authn.attribute-repository.ldap[0].bindDn=...
cas.authn.attribute-repository.ldap[0].bindCredential=...
【讨论】：