使用 LDAP 验证应用程序用户

Question

我的 Web 应用程序当前配置为连接到 LDAP 以进行用户验证，而不依赖于应用程序服务器设置。换句话说，我的应用程序利用命名参数连接到 LDAP，因此它与应用程序服务器无关，即。 JBoss 或 Websphere。

使用的命名参数如下： ldapURL ldapPrincipal（绑定用户） ldapCredentials（绑定用户密码） ldap身份验证 ldapSearchBase

现在的要求是在 ldapCredentials 命名参数中允许加密密码。我有一个摆脱这种情况的方法是使用自定义 SecurityLoginModule 来加密密码并使用命名参数将其提供给应用程序。然后，我的应用程序将对其进行解密，然后继续进行 LDAP 用户验证。但是，这会导致额外的应用程序安装步骤。

所以我想知道是否有一种方法可以使用应用程序服务器安全域（或其他方式）在应用程序服务器上以安全的方式存储用户凭据，以后应用程序会在使用 LDAP 验证用户时获取它无需在我的应用程序中编写特定于服务器的代码。我知道我们可以使用安全域来执行数据源连接，而无需编写服务器特定的代码。但是，如果我为 LDAP 执行此操作，那么我会让服务器与 LDAP 对话，这不是我想要的。基本上还是可以继续使用联合用户而不是 LDAP。

Answer 1

任何体面的应用程序服务器（包括 JBoss 和 WebSphere）都有服务器提供的 LDAP 注册表，您可以在没有任何应用程序特定代码的情况下配置和使用它，我强烈建议使用它而不是编写自己的 ldap 连接代码。

关于加密：

• 对于传统的 WebSphere，您可以将自己的类插入服务器基础架构以加密密码，请参阅 - Plug point for custom password encryption
• 对于 WebSphere Liberty - 您拥有对 aes 和哈希的开箱即用支持。
• 对于 JBoss，Google 中的第一个链接向我展示了这个 How do I encrypt the bindCredential password in Wildfly，但也许 JBoss 专家会指导您做一些不同的事情。