使用Apache Shiro进行身份认证-LDAP认证

mingche

　　Apache Shiro 支持LDAP做为数据源进行身份认证。我做了一个简单的实验来说明Shiro是如何支持LDAP的。
　　在本机安装了OpenLDAP，版本为2.4.23。手动建了一个用户，结构如下：

　　在Shiro.ini文件中配置LDAP：

[main]
ldapRealm = org.apache.shiro.realm.ldap.JndiLdapRealm
ldapRealm.userDnTemplate = cn={0},ou=产品研发部,ou=研发中心,dc=example,dc=com
ldapRealm.contextFactory.url = ldap://localhost:389


这样就可实现通过LDAP进行身份认证。　　

　　在Shiro中具体实现验证过程的是org.apache.shiro.realm.ldap.JndiLdapRealm类和org.apache.shiro.realm.ldap.JndiLdapContextFactory类。

protected AuthenticationInfo queryForAuthenticationInfo(AuthenticationToken token,
LdapContextFactory ldapContextFactory)
throws NamingException {
//从页面提交的用户名“lisi”
Object principal = token.getPrincipal();
//从页面提交的口令“123456”
Object credentials = token.getCredentials();
log.debug("Authenticating user '{}' through LDAP", principal);
//将用户名拼成DN“cn=lisi,ou=产品研发部,ou=研发中心,dc=example,dc=com”
principal = getLdapPrincipal(token);
LdapContext ctx = null;
try {
//进行认证
ctx = ldapContextFactory.getLdapContext(principal, credentials);
//context was opened successfully, which means their credentials were valid.  Return the AuthenticationInfo:
return createAuthenticationInfo(token, principal, credentials, ctx);
} finally {
LdapUtils.closeContext(ctx);
}
}

　　注，这里存在一个问题。如果输入不存在的用户或是错误的口令后currentUser.login(token);方法返回的异常是AuthenticationException，代表不确定的异常。
　　而不是UnknownAccountException或IncorrectCredentialsException。这样在前台表述时就不够准确。
　　原因应该是在做LDAP认证时没有区分错误情况，如果取不到context会抛出相同异常 throw new AuthenticationException("LDAP authentication failed.", e);