求助：为Strapi管理员面板启用AD LDAP认证方案

• Strapi版本：4.17.0
• 操作系统：Windows Server 2019
• 数据库：postgreSQL
• Node版本：v20.11.0
• NPM版本：10.3.0
• Yarn版本：无

问题描述 #

我已全网查找方案，但仍无法为Strapi管理员面板实现LDAP认证，恳请提供技术支持！我曾参考过一些文档，但其中部分依赖库已不存在。

适配Strapi 4.x的LDAP认证实现方案 #

方案1：使用维护中的LDAP插件 #

选用适配Strapi 4的strapi-plugin-ldap-login插件，步骤如下：

1. 安装依赖：

npm install strapi-plugin-ldap-login --save

2. 在项目根目录的config/plugins.js中添加LDAP配置（替换为你的LDAP服务器信息）：

module.exports = ({ env }) => ({
  'ldap-login': {
    enabled: true,
    config: {
      server: {
        url: 'ldap://你的LDAP服务器地址:389',
        bindDN: 'cn=管理员账号,dc=你的域名,dc=com',
        bindCredentials: '管理员密码',
        searchBase: 'dc=你的域名,dc=com',
        searchFilter: '(uid={{username}})',
        searchAttributes: ['dn', 'sn', 'cn', 'mail'],
      },
      admin: {
        autoRegister: true, // 自动将LDAP用户同步到Strapi管理员
        defaultRole: 'strapi-super-admin', // 指定同步后用户的默认角色
      },
    },
  },
});

3. 重启Strapi服务，使用LDAP账号登录管理员面板即可。

方案2：自定义管理员认证逻辑 #

若插件无法满足需求，可通过扩展Strapi认证流程实现：

1. 安装LDAP依赖库：

npm install ldapjs --save

2. 创建自定义认证服务：在src/admin/services/auth.js中编写LDAP验证与用户同步逻辑：

const ldap = require('ldapjs');

module.exports = ({ strapi }) => ({
  async authenticate(username, password) {
    const client = ldap.createClient({ url: 'ldap://你的LDAP服务器地址:389' });

    return new Promise((resolve, reject) => {
      // 绑定LDAP管理员账号用于搜索用户
      client.bind('cn=管理员账号,dc=你的域名,dc=com', '管理员密码', (bindErr) => {
        if (bindErr) return reject(bindErr);

        // 搜索目标用户的DN
        client.search('dc=你的域名,dc=com', { filter: `(uid=${username})`, scope: 'sub' }, (searchErr, res) => {
          if (searchErr) return reject(searchErr);

          let userDN;
          res.on('searchEntry', (entry) => {
            userDN = entry.dn;
          });

          res.on('end', () => {
            if (!userDN) return reject(new Error('LDAP中未找到该用户'));

            // 用用户账号绑定验证密码
            client.bind(userDN, password, (authErr) => {
              client.unbind();
              if (authErr) return reject(authErr);

              // 同步用户到Strapi，不存在则创建
              strapi.query('admin::user').findOne({ where: { username } })
                .then(strapiUser => {
                  if (!strapiUser) {
                    return strapi.query('admin::user').create({
                      data: {
                        username,
                        email: `${username}@你的域名.com`,
                        password: password, // Strapi必填字段，可设随机值
                        isActive: true,
                        roles: [1], // 1为超级管理员角色ID，可按需调整
                      },
                    });
                  }
                  return strapiUser;
                })
                .then(user => resolve(user))
                .catch(reject);
            });
          });
        });
      });
    });
  },
});

3. 扩展登录控制器：在src/admin/controllers/auth.js中替换默认登录逻辑：

module.exports = ({ strapi }) => ({
  async login(ctx) {
    const { identifier, password } = ctx.request.body;

    try {
      const user = await strapi.admin.services.auth.authenticate(identifier, password);
      const jwt = strapi.admin.services.jwt.issue({ id: user.id });

      ctx.send({
        jwt,
        user: strapi.admin.services.user.sanitizeUser(user),
      });
    } catch (err) {
      ctx.badRequest('无效凭证', { error: err.message });
    }
  },
});

4. 重启Strapi服务，测试LDAP账号登录。

注意事项 #

• 确保Strapi服务器能访问LDAP服务器，端口（389/636）已开放。
• 若使用LDAPS（加密连接），将URL改为ldaps://你的LDAP服务器地址:636，测试阶段可添加tlsOptions: { rejectUnauthorized: false }跳过证书验证。
• 同步用户时，可根据LDAP返回的属性调整Strapi用户字段（如姓名、邮箱等）。

内容的提问来源于stack exchange，提问作者Carlos Raúl Cárcamo Tejada