如何阻止未在数据库中的用户通过Devise LDAP登录？

1. 关闭自动创建用户的默认行为 #

在config/initializers/devise.rb中添加LDAP配置项，禁用自动创建用户的默认逻辑：

Devise.setup do |config|
  # 保留原有配置...
  config.ldap_create_user = false
end

2. 在User模型中添加认证校验逻辑 #

通过重写Devise的LDAP认证相关方法，确保只有数据库中已存在的用户才能完成认证，以下两种方案任选其一：

方案一：重写find_for_ldap_authentication方法 #

这个方法负责查找待认证的用户，我们只返回数据库中已存在的用户实例：

class User < ApplicationRecord
  devise :ldap_authenticatable, :registerable,
         :recoverable, :rememberable, :validatable

  def self.find_for_ldap_authentication(conditions)
    # 根据登录传入的username匹配数据库内的用户
    existing_user = find_by(username: conditions[:username])
    # 仅当用户存在时执行后续LDAP认证，否则返回nil触发认证失败
    existing_user ? super(conditions) : nil
  end
end

方案二：重写valid_ldap_authentication?方法 #

这个方法用于校验LDAP密码，我们先确认用户是数据库中已持久化的记录，再验证密码有效性：

class User < ApplicationRecord
  devise :ldap_authenticatable, :registerable,
         :recoverable, :rememberable, :validatable

  def valid_ldap_authentication?(password)
    # 仅对已存入数据库的用户执行LDAP密码校验
    persisted? && super(password)
  end
end

补充说明 #

• 确保User模型的username字段与LDAP服务器的用户标识字段匹配（比如AD的sAMAccountName），可在devise.rb中配置：config.ldap_uid = 'sAMAccountName'
• 无需修改Users::SessionsController，认证逻辑的核心控制在模型层而非控制器层

内容的提问来源于stack exchange，提问作者mila002