LdapAuthenticationProvider是Spring-Security整合LDAP認證的實做。本篇文章要告訴大家,如何透過它去驗證使用者並取得此使用者的對應群組。
要達成我們的目標,有幾個步驟需要完成:
讓我們透過範例來做說明。
即建立LdapContextSource物件,我使用DefaultSpringSecurityContextSource完成我的實作。
LdapContextSource contextSource = new DefaultSpringSecurityContextSource("ldap://192.168.1.13:389"); contextSource.setBase("dc=testldap,dc=org"); contextSource.setUserDn("cn=admin,dc=testldap,dc=org"); contextSource.setPassword("123456"); contextSource.afterPropertiesSet();如果你想透過多台LDAP server做認證,可以傳入String List給DefaultSpringSecurityContextSource,也可以透過多個provider方式去達到目的。差別在於前者的設定必須相同;後者則有較高的控制靈活度。
LdapAuthenticationProvider將認證的動作交給LdapAuthenticator負責。實作是透過FilterBasedLdapUserSearch去搜尋使用者資料,並藉由BindAuthenticator使用bind方式經由LDAP server做認證:
FilterBasedLdapUserSearch userSearch = new FilterBasedLdapUserSearch("ou=sw", "uid={0}", contextSource); BindAuthenticator authenticator = new BindAuthenticator(contextSource); authenticator.setUserSearch(userSearch);需注意的部分是FilterBasedLdapUserSearch的前兩個參數:
與使用者搜尋設置類似,就是透過DefaultLdapAuthoritiesPopulator去搜尋使用者所對應的群組:
DefaultLdapAuthoritiesPopulator authoritiesPopulator = new DefaultLdapAuthoritiesPopulator(contextSource, "ou=sw"); authoritiesPopulator.setGroupSearchFilter("uniqueMember={0}"); authoritiesPopulator.setConvertToUpperCase(false); authoritiesPopulator.setRolePrefix(""); authoritiesPopulator.setSearchSubtree(true);需注意的部分為:
將我們設置的那些類別給塞到provider內,接著透過UsernamePasswordAuthenticationToken來模擬登入動作:
LdapAuthenticationProvider provider = new LdapAuthenticationProvider(authenticator, authoritiesPopulator); UsernamePasswordAuthenticationToken token = new UsernamePasswordAuthenticationToken("tonylin", "123456"); try { Authentication ret = provider.authenticate(token); Collection<? extends GrantedAuthority> authorities = ret.getAuthorities(); assertEquals(1, authorities.size()); assertEquals("mis", authorities.toArray(new GrantedAuthority[0])[0].getAuthority()); } catch( Exception e ){ fail(); }如果密碼錯誤會拋出BadCredentialsException,假如base DN下所找到的使用者超過兩筆則會拋出IncorrectResultSizeDataAccessException。還有其它有的沒的例外,就請你自行發現了。
除了以上,其實還有些沒提及又或者是我們有遇到並解決的問題:
以上有時間再教大家怎麼做。