WSO2 MI 4.1.0 LDAP二级用户存储能否注入系统变量及安全配置

云上老周

2026-6-15

WSO2 MI二级LDAP用户存储：变量注入与安全配置

问题描述

能否在LDAP二级用户存储中注入$SYSTEM:VAR或类似变量？该操作是否可行？如何对该LDAP进行安全配置？我们尝试使用环境变量，现有LDAP配置如下：

<?xml version="1.0" encoding="UTF-8"?>
<UserStoreManager class="org.wso2.micro.integrator.security.user.core.ldap.ReadOnlyLDAPUserStoreManager">
   <Property name="ConnectionURL">ldap://XXXX:389/</Property>
   <Property name="ConnectionName">XXXXXX</Property>
   <Property name="ConnectionPassword">XXXX</Property>
   <Property name="UserNameAttribute">uid</Property>
   <Property name="DomainName">ldapDes</Property>
   <Property name="UserSearchBase">o=XXXX,c=es</Property>
   <Property name="UserNameListFilter">(objectClass=*)</Property>
   <Property name="UserNameSearchFilter">(&amp;(uid=?))</Property>
   <Property name="Disabled">false</Property>
   <Property name="MaxUserNameListLength">100</Property>
   <Property name="MaxRoleNameListLength">100</Property>
   <Property name="UserRolesCacheEnabled">true</Property>
   <Property name="SCIMEnabled">false</Property>
   <Property name="ReadGroups">false</Property>
   <Property name="GroupSearchBase">ou=system</Property>
   <Property name="GroupNameAttribute">cn</Property>
   <Property name="GroupNameSearchFilter">(&amp;(objectClass=groupOfNames)(cn=?))</Property>
   <Property name="GroupNameListFilter">(objectClass=groupOfNames)</Property>
   <Property name="MembershipAttribute">member</Property>
   <Property name="MemberOfAttribute"/>
   <Property name="PasswordHashMethod">PLAIN_TEXT</Property>
   <Property name="ReplaceEscapeCharactersAtUserLogin">true</Property>
   <Property name="Description"/>
</UserStoreManager>

回答

一、系统变量注入可行性与实现

可行。WSO2 MI支持在二级LDAP用户存储配置中使用$SYSTEM:<变量名>语法注入系统环境变量，以此替代硬编码的敏感配置项。

配置示例

将配置中的敏感字段替换为环境变量引用：

<?xml version="1.0" encoding="UTF-8"?>
<UserStoreManager class="org.wso2.micro.integrator.security.user.core.ldap.ReadOnlyLDAPUserStoreManager">
   <Property name="ConnectionURL">$SYSTEM:LDAP_CONN_URL</Property>
   <Property name="ConnectionName">$SYSTEM:LDAP_BIND_USER</Property>
   <Property name="ConnectionPassword">$SYSTEM:LDAP_BIND_PWD</Property>
   <Property name="UserNameAttribute">uid</Property>
   <Property name="DomainName">ldapDes</Property>
   <Property name="UserSearchBase">$SYSTEM:LDAP_USER_BASE</Property>
   <Property name="UserNameListFilter">(objectClass=*)</Property>
   <Property name="UserNameSearchFilter">(&amp;(uid=?))</Property>
   <Property name="Disabled">false</Property>
   <Property name="MaxUserNameListLength">100</Property>
   <Property name="MaxRoleNameListLength">100</Property>
   <Property name="UserRolesCacheEnabled">true</Property>
   <Property name="SCIMEnabled">false</Property>
   <Property name="ReadGroups">false</Property>
   <Property name="GroupSearchBase">ou=system</Property>
   <Property name="GroupNameAttribute">cn</Property>
   <Property name="GroupNameSearchFilter">(&amp;(objectClass=groupOfNames)(cn=?))</Property>
   <Property name="GroupNameListFilter">(objectClass=groupOfNames)</Property>
   <Property name="MembershipAttribute">member</Property>
   <Property name="MemberOfAttribute"/>
   <Property name="PasswordHashMethod">PLAIN_TEXT</Property>
   <Property name="ReplaceEscapeCharactersAtUserLogin">true</Property>
   <Property name="Description"/>
</UserStoreManager>

环境变量设置

在MI运行的系统中提前配置对应环境变量：

# Linux/macOS
export LDAP_CONN_URL="ldap://XXXX:389/"
export LDAP_BIND_USER="XXXXXX"
export LDAP_BIND_PWD="XXXX"
export LDAP_USER_BASE="o=XXXX,c=es"

# Windows（命令提示符）
set LDAP_CONN_URL=ldap://XXXX:389/
set LDAP_BIND_USER=XXXXXX
set LDAP_BIND_PWD=XXXX
set LDAP_USER_BASE=o=XXXX,c=es

二、LDAP用户存储安全配置建议

1. 加密连接

改用LDAPS（SSL/TLS加密），将ConnectionURL改为ldaps://<host>:636/，并将LDAP服务器的SSL证书导入MI的信任存储（<MI_HOME>/repository/resources/security/client-truststore.jks）。
禁用明文LDAP连接，避免数据传输过程中被窃听。

2. 最小权限原则

为LDAP绑定用户（ConnectionName）分配仅能读取用户属性、搜索目录的最小权限，禁止使用具有修改、删除权限的账号。
缩小UserSearchBase范围，限制搜索目录树的层级，减少不必要的信息暴露。

3. 密码安全

立即替换PasswordHashMethod为非明文算法（如SHA-256、SSHA），避免密码以明文形式存储或传输。
保持ReplaceEscapeCharactersAtUserLogin为true，防止登录时的特殊字符注入攻击。

4. 缓存与性能安全

合理设置MaxUserNameListLength和MaxRoleNameListLength，避免单次返回过多数据引发性能问题或信息泄露。
启用UserRolesCacheEnabled以降低LDAP服务器负载，但需配置合适的缓存过期时间，确保权限变更能及时同步。

5. 减少攻击面

保持SCIMEnabled为false，若无需通过SCIM接口管理用户，关闭该功能减少潜在攻击入口。
保持ReadGroups为false，若不需要读取LDAP组信息，进一步限制访问权限。

内容的提问来源于stack exchange，提问作者Aprendiendo Siempre