使用Apache Shiro进行身份认证-LDAP认证

﹏ヽ暗。殇╰゛Y 2022-04-16 05:15 415阅读 0赞

Apache Shiro 支持LDAP做为数据源进行身份认证。我做了一个简单的实验来说明Shiro是如何支持LDAP的。

在本机安装了OpenLDAP，版本为2.4.23。手动建了一个用户，结构如下：

![1334308302_6521.png][]

在Shiro.ini文件中配置LDAP：

[main]
    ldapRealm = org.apache.shiro.realm.ldap.JndiLdapRealm
    ldapRealm.userDnTemplate = cn={0},ou=产品研发部,ou=研发中心,dc=example,dc=com
    ldapRealm.contextFactory.url = ldap://localhost:389

这样就可实现通过LDAP进行身份认证。

在Shiro中具体实现验证过程的是org.apache.shiro.realm.ldap.JndiLdapRealm类和org.apache.shiro.realm.ldap.JndiLdapContextFactory类。

protected AuthenticationInfo queryForAuthenticationInfo(AuthenticationToken token,
                                                                LdapContextFactory ldapContextFactory)
                throws NamingException {
    
            //从页面提交的用户名“lisi”
            Object principal = token.getPrincipal();
            //从页面提交的口令“123456”
            Object credentials = token.getCredentials();
    
            log.debug("Authenticating user '{}' through LDAP", principal);
    
            //将用户名拼成DN“cn=lisi,ou=产品研发部,ou=研发中心,dc=example,dc=com”
            principal = getLdapPrincipal(token);
    
            LdapContext ctx = null;
            try {
                //进行认证
                ctx = ldapContextFactory.getLdapContext(principal, credentials);
                //context was opened successfully, which means their credentials were valid.  Return the AuthenticationInfo:
                return createAuthenticationInfo(token, principal, credentials, ctx);
            } finally {
                LdapUtils.closeContext(ctx);
            }
        }

注，这里存在一个问题。如果输入不存在的用户或是错误的口令后currentUser.login(token);方法返回的异常是AuthenticationException，代表不确定的异常。

而不是UnknownAccountException或IncorrectCredentialsException。这样在前台表述时就不够准确。

原因应该是在做LDAP认证时没有区分错误情况，如果取不到context会抛出相同异常 throw new AuthenticationException("LDAP authentication failed.", e);

[1334308302_6521.png]: https://img-my.csdn.net/uploads/201204/13/1334308302_6521.png