如何在Node.js中通过NTLM认证连接LDAP实现员工登录

核心实现方案 #

你的需求是网页表单提交用户名密码，后端通过NTLM认证方式绑定LDAP并查询用户属性，而非HTTP层面的NTLM集成认证（这是你之前用Passport/express-ntlm走偏的原因）。以下是对应Python代码的Node.js实现，使用@ldapjs/client库（LDAP官方维护的客户端）：

1. 安装依赖 #

npm install @ldapjs/client express

2. 实现LDAP认证函数 #

const { Client } = require('@ldapjs/client');

async function authenticateLdap(username, password) {
  // 初始化LDAP客户端
  const client = new Client({
    url: 'ldap://ldapDomain', // 替换为你的LDAP服务器地址，如ldap://dc.smth.com
    timeout: 5000,
    connectTimeout: 5000
  });

  try {
    // 执行NTLM绑定认证
    await client.bind(username, password, { authentication: 'ntlm' });

    // 搜索用户属性（和Python代码逻辑一致）
    const searchOpts = {
      filter: `(sAMAccountName=${username})`,
      scope: 'sub',
      attributes: ['department', 'displayName', 'description']
    };

    const entries = [];
    // 处理搜索流
    await new Promise((resolve, reject) => {
      const searchStream = client.search('DC=smth,DC=com', searchOpts);
      searchStream.on('searchEntry', entry => entries.push(entry.pojo));
      searchStream.on('error', reject);
      searchStream.on('end', resolve);
    });

    if (entries.length === 0) throw new Error('未找到用户');

    // 提取并格式化用户数据
    const attrs = entries[0].attributes;
    return {
      name: attrs.displayName[0],
      department: attrs.department[0],
      position: attrs.description[0]
    };

  } catch (err) {
    // 捕获无效凭证错误（对应Python的LDAPBindError）
    if (err.name === 'InvalidCredentialsError') return false;
    throw err;
  } finally {
    // 确保关闭LDAP连接
    await client.unbind();
  }
}

3. Express处理表单提交 #

const express = require('express');
const app = express();

// 解析表单数据
app.use(express.urlencoded({ extended: true }));

// 登录接口
app.post('/login', async (req, res) => {
  const { username, password } = req.body;
  try {
    const userInfo = await authenticateLdap(username, password);
    if (!userInfo) return res.status(401).send('用户名或密码错误');
    // 此处可添加Session/JWT生成逻辑，返回用户信息
    res.json(userInfo);
  } catch (err) {
    console.error('LDAP认证失败:', err);
    res.status(500).send('服务器内部错误');
  }
});

app.listen(3000, () => console.log('服务运行在 http://localhost:3000'));

你之前遇到的问题解析 #

1. Passport.js Windows Authentication Strategy：该策略用于浏览器与服务器的HTTP层面NTLM/Kerberos集成认证（无需表单），不适用你表单提交密码后后端主动验证的场景，所以无法正确传入用户名密码。
2. express-ntlm报错：同样，这个库是处理HTTP请求的NTLM协商流程（浏览器自动发送系统凭证），而非用表单密码做LDAP绑定。NTLM需要三次握手（挑战-响应），手动构造base64凭证必然无效。

注意事项 #

• 用户名格式需与Python代码一致：部分LDAP服务器要求格式为DOMAIN\username或username@domain.com
• 确保Node.js服务器能访问LDAP端口（默认389，加密用636）
• 若需加密连接，将URL改为ldaps://ldapDomain

内容的提问来源于stack exchange，提问作者Anton