Spring Security LDAP实现身份验证的项目实践
作者：江帅帅
如果你曾经在生产级应用程序中实现过登录功能，你一定听说过 LDAP 身份验证。
LDAP 可用于任何类型的分层目录信息，LDAP 最流行的用途是存储组织数据。
举个例子，比如说你们公司一个典型的组织结构，那么一般都有董事、经理、监事等职位。这些呢就是 LDAP 机制最适合实现的分层数据。通过这种方式，大多数组织使用它来维护组织信息，包括其凭证。
因此，我们接下来演示一下 Spring Security LDAP 身份验证示例。
1、LDAP 是什么？
LDAP 代表轻量级目录访问协议。它是一种开放的、供应商中立的行业标准应用程序协议，用于通过网络访问和维护分布式目录信息服务。
2、LDAP 是怎么工作的？
比如上面那个例子，LDAP 可用来存储组织的用户信息。
当用户尝试登录应用程序时，它会检查 LDAP 以查看其是否是有效用户以及该用户是否具有所需的权限和有效凭据。
在 Spring Security 的上下文中，应用程序连接到 LDAP 服务器，以便根据该 LDAP 验证有效用户。
3、LDIF 是什么？
LDIF 是 LDAP 数据交换格式的缩写。
它是文件的标准纯文本数据交换格式，用于表示 LDAP 目录内容，文件的扩展名是“.ldif”。
LDIF 文件中有多个字段，详细了解一下：
3.1 LDIF 文件中有哪些常见字段？
1）dn：专有名称
“dn”代表唯一标识目录中条目的名称。
DN 是必填字段，如果 DN 中存在逗号，则必须使用反斜杠（\）对逗号进行转义。例如，dn: uid=sam, ou=people, o=example.com Bolivia\,S.A.
2）o：组织
“o”代表组织名称。例如：juejin.cn
3）dc：域分量
“dc”代表域的每个组成部分。例如 www.example.com 将写为 DC = www, DC = example, DC = com
4）ou：组织单位
“ou”代表用户所属的组织单位（或有时是用户组）。如果用户属于多个组，您可以通过提供多个条目来指定它。例如：OU = 员工，OU = 管理员。
5）cn：通用名
“cn”代表您正在查询的单个对象（人名、会议室、菜谱名称、职位等）。它是人们常用的。例如，cn：郭德纲。至少需要一个通用名称。
6）sn：姓氏
“sn”代表人的姓氏。例如，sn：郭。需要提供姓氏。
7）objectClass：对象类
“objectClass”指定与此条目一起使用的对象类。
它是必填字段。例如：objectClass：person，objectClass：organizationalPerson。
应包含此对象类规范，因为许多 LDAP 客户端在对个人或组织人员进行搜索操作期间需要它。
3.2 LDIF 文件的格式是什么？
LDIF 由一个或多个以空行分隔的目录条目组成。每个 LDIF 条目都包含一个可选的条目 ID、一个必需的专有名称、一个或多个对象类以及多个属性定义。
LDIF 格式在 RFC 2849 LDAP 数据交换格式 (LDIF) 中定义。 Sun Java System Directory Server 符合此标准。
LDIF 中表示的目录项的基本形式如下：
dn: distinguished_name objectClass: object_class objectClass: object_class ... attribute_type[;subtype]:attribute_value attribute_type[;subtype]:attribute_value ...
我们必须提供 DN 和至少一个对象类定义。此外，我们必须包含为条目定义的对象类所需的任何属性。
所有其他属性和对象类都是可选的。我们可以按任何顺序指定对象类和属性。冒号后面的空格也是可选的。
例如，下面是 LDIF 文件中的有效条目，这里的“uid”字段代表该人的用户 ID。
dn: uid=bob,ou=people,dc=springframework,dc=org objectclass: top objectclass: person objectclass: organizationalPerson cn: Bob Hamilton sn: Hamilton uid: bob userPassword: bobspassword
4、如何使用 Spring Boot 实现 Spring Security LDAP 身份验证？
假设我们有一个应用程序，我们已经使用 Spring 框架提供的 Spring Security API 实现了基本的安全性。现在我们必须实施 LDAP 身份验证以使其更加安全。
因此，我们需要开发一个基本的 Web 应用程序，然后实现 LDAP 身份验证概念来满足 Spring Security LDAP 身份验证示例的要求。
以下是详细步骤：
步骤1：创建 Spring Boot Starter 项目
创建入门项目时，选择“Spring Web”、“Spring LDAP”、“嵌入式 LDAP 服务器”、“Spring security”和“Spring Boot DevTools”作为入门项目依赖项。
这里“Spring Boot Dev Tools”是可选添加的。我们使用 Spring Boot Dev Tools 来实现热加载，避免在测试应用程序时多次重新启动 tomcat 服务器。除此之外，我们还需要添加一个额外的依赖项“spring-security-ldap”。
以下是我们使用 Spring Boot 开发此 Spring Security LDAP 身份验证示例所使用的依赖项。
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-web</artifactId> </dependency> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-data-ldap</artifactId> </dependency> <dependency> <groupId>com.unboundid</groupId> <artifactId>unboundid-ldapsdk</artifactId> <!-- <scope>test</scope> --> </dependency> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-ldap</artifactId> </dependency> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-devtools</artifactId> <scope>runtime</scope> </dependency>
步骤2：创建一个 .ldif 文件作为 ldap-data.ldif
该文件将具有强制的 .ldif 扩展名。在 src/main/resources 文件夹下创建一个名为“ldap-data.ldif”的文件并更新数据，如下所示。
我们从 Spring 官方文档网站获取此文件。它将作为本地目录工作，并具有兼容的数据以相应地与 LDAP 配合使用。
dn: dc=springframework,dc=org objectclass: top objectclass: domain objectclass: extensibleObject dc: springframework dn: ou=groups,dc=springframework,dc=org objectclass: top objectclass: organizationalUnit ou: groups dn: ou=subgroups,ou=groups,dc=springframework,dc=org objectclass: top objectclass: organizationalUnit ou: subgroups dn: ou=people,dc=springframework,dc=org objectclass: top objectclass: organizationalUnit ou: people dn: ou=space cadets,dc=springframework,dc=org objectclass: top objectclass: organizationalUnit ou: space cadets dn: ou="quoted people",dc=springframework,dc=org objectclass: top objectclass: organizationalUnit ou: "quoted people" dn: ou=otherpeople,dc=springframework,dc=org objectclass: top objectclass: organizationalUnit ou: otherpeople dn: uid=ben,ou=people,dc=springframework,dc=org objectclass: top objectclass: person objectclass: organizationalPerson objectclass: inetOrgPerson cn: Ben Alex sn: Alex uid: ben userPassword: $2a$10$c6bSeWPhg06xB1lvmaWNNe4NROmZiSpYhlocU/98HNr2MhIOiSt36 dn: uid=admin,ou=people,dc=springframework,dc=org objectclass: top objectclass: person objectclass: organizationalPerson objectclass: inetOrgPerson cn: Admin sn: Admin uid: admin userPassword: $2a$10$ODZhWAyD0i8zruWQcMYx9ePkW2xXsqIljhh4K8spSOUCY897ERkwu dn: uid=bob,ou=people,dc=springframework,dc=org objectclass: top objectclass: person objectclass: organizationalPerson objectclass: inetOrgPerson cn: Bob Hamilton sn: Hamilton uid: bob userPassword: bobspassword dn: uid=joe,ou=otherpeople,dc=springframework,dc=org objectclass: top objectclass: person objectclass: organizationalPerson objectclass: inetOrgPerson cn: Joe Smeth sn: Smeth uid: joe userPassword: joespassword dn: cn=mouse, jerry,ou=people,dc=springframework,dc=org objectclass: top objectclass: person objectclass: organizationalPerson objectclass: inetOrgPerson cn: Mouse, Jerry sn: Mouse uid: jerry userPassword: jerryspassword dn: cn=slash/guy,ou=people,dc=springframework,dc=org objectclass: top objectclass: person objectclass: organizationalPerson objectclass: inetOrgPerson cn: slash/guy sn: Slash uid: slashguy userPassword: slashguyspassword dn: cn=quote"guy,ou="quoted people",dc=springframework,dc=org objectclass: top objectclass: person objectclass: organizationalPerson objectclass: inetOrgPerson cn: quote"guy sn: Quote uid: quoteguy userPassword: quoteguyspassword dn: uid=space cadet,ou=space cadets,dc=springframework,dc=org objectclass: top objectclass: person objectclass: organizationalPerson objectclass: inetOrgPerson cn: Space Cadet sn: Cadet uid: space cadet userPassword: spacecadetspassword dn: cn=developers,ou=groups,dc=springframework,dc=org objectclass: top objectclass: groupOfUniqueNames cn: developers ou: developer uniqueMember: uid=ben,ou=people,dc=springframework,dc=org uniqueMember: uid=bob,ou=people,dc=springframework,dc=org dn: cn=managers,ou=groups,dc=springframework,dc=org objectclass: top objectclass: groupOfUniqueNames cn: managers ou: manager uniqueMember: uid=ben,ou=people,dc=springframework,dc=org uniqueMember: cn=mouse, jerry,ou=people,dc=springframework,dc=org dn: cn=submanagers,ou=subgroups,ou=groups,dc=springframework,dc=org objectclass: top objectclass: groupOfUniqueNames cn: submanagers ou: submanager uniqueMember: uid=ben,ou=people,dc=springframework,dc=org
在这里，我们突出显示了一个用户的数据，我们将使用该数据来测试已实施的示例。
步骤3：更新 application.properties 文件
在此文件中，我们将拥有嵌入式 LDAP 的一些属性，如下所示。
spring.ldap.embedded.port=8389 spring.ldap.embedded.ldif=classpath:ldap-data.ldif spring.ldap.embedded.base-dn=dc=springframework,dc=org
步骤4：创建一个用于基本身份验证的控制器类
下一步是创建一个 RestController 类。
当我们输入凭据以登录应用程序时，我们将看到一条成功登录消息。让我们创建一个简单的控制器 LoginController.java，如下所示。
@RestController
public class LoginController {
@GetMapping("/")
public String getLoginPage() {
return "登录成功!";
}
} 步骤5：从 LdapSecurityConfig.java 创建一个配置类
这是我们将保留 LDAP 身份验证的整个逻辑的配置类，如下所示。
@Configuration
public class LdapSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.anyRequest().fullyAuthenticated()
.and()
.formLogin();
}
@Override
public void configure(AuthenticationManagerBuilder auth) throws Exception {
auth
.ldapAuthentication()
.userDnPatterns("uid={0},ou=people")
.groupSearchBase("ou=groups")
.contextSource()
.url("ldap://localhost:8389/dc=springframework,dc=org")
.and()
.passwordCompare()
.passwordEncoder(new BCryptPasswordEncoder())
.passwordAttribute("userPassword");
}
} 注意：如果您使用 Spring Security 5.7.0-M2 或更高版本，不要使用 WebSecurityConfigurerAdapter。
5、如何测试应用程序？
为了测试应用程序，我们需要打开浏览器并点击 URL http://localhost:8080/。
点击 URL 后，将显示默认登录页面。此外，输入 ldap-data.ldif 文件中给出的任何凭据。
如果输入的凭据正确，您将看到使用 LDAP 身份验证成功登录的消息。例如，让我们观察 ldap-data.ldif 文件中的以下用户数据。
dn: uid=admin,ou=people,dc=springframework,dc=org objectclass: top objectclass: person objectclass: organizationalPerson objectclass: inetOrgPerson cn: Admin sn: Admin uid: admin userPassword: $2a$10$ODZhWAyD0i8zruWQcMYx9ePkW2xXsqIljhh4K8spSOUCY897ERkwu
这里，aid是用户名，userpassword是密码的加密值。密码的真实值为“admin@123”。
因此，我们需要提供 admin@123 作为密码。单击登录按钮后，您应该在屏幕上看到消息“登录成功！”。
我们可以使用下面的程序类来对任何密码进行编码。
public class PasswordEncoder {
public static void main(String[] args) {
System.out.println(new BCryptPasswordEncoder().encode("admin@123"));
}
} 6、总结
在本文中，我们涵盖了“使用 Spring Boot 的 Spring Security LDAP 身份验证示例”的所有理论和示例部分。
最后，您应该能够实现 Spring Security LDAP 身份验证。同样，您也可以根据自己的要求进一步扩展此示例。也尝试在您的项目中相应地实现它。
到此这篇关于Spring Security LDAP实现身份验证的项目实践的文章就介绍到这了,更多相关Spring Security LDAP身份验证内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！