如何基于github.com/go-ldap/ldap/v3连接句柄验证LDAP用户密码？

问题背景 #

目前通过发起新绑定请求验证用户名/密码组合的方式开销过高，希望采用LDAP原生规范的扩展操作，让服务器完成密码验证流程。已通过合法用户连接LDAP服务器并获得连接句柄ldapHandle（代码如下），需验证用户Bob（DN为uid=bob,o=example，密码为"secret"）的密码，且不使用重绑定的临时办法。

ldapHandle := ldap.DialURL(...)
ldapHandle.StartTLS(...)
ldapHandle.ExternalBind() // SASL/EXTERNAL

解决方案：使用LDAP密码修改扩展操作（RFC 3062） #

LDAP的Password Modify扩展操作（定义在RFC 3062）原本用于修改密码，但可利用其特性验证密码：提交修改请求时，服务器会先验证旧密码的有效性。我们可以构造一个无实际修改的请求（比如将新密码设为与旧密码一致），以此完成密码验证。

Go代码实现 #

使用go-ldap/ldap库实现该扩展操作：

import (
    "github.com/go-ldap/ldap/v3"
    "log"
)

func validateUserPassword(ldapHandle *ldap.Conn, userDN, password string) error {
    // 构造密码修改请求：旧密码用于验证，新密码设为相同值避免实际修改
    modReq := ldap.NewPasswordModifyRequest(
        userDN,
        password, // 待验证的旧密码
        password, // 新密码与旧密码一致，无实际修改
    )

    // 发送扩展请求，服务器会先验证旧密码有效性
    _, err := ldapHandle.PasswordModify(modReq)
    return err
}

// 调用示例
func main() {
    // 假设ldapHandle已完成初始化和绑定
    err := validateUserPassword(ldapHandle, "uid=bob,o=example", "secret")
    if err != nil {
        log.Printf("密码验证失败: %v", err)
    } else {
        log.Println("密码验证通过")
    }
}

注意事项 #

• 确保LDAP服务器支持RFC 3062扩展操作，主流服务器（如OpenLDAP、Active Directory）均支持。
• 当前已绑定的用户（通过SASL/EXTERNAL）需拥有目标用户的密码修改权限，或服务器允许用户自身验证密码（通常用户默认拥有该权限）。
• 部分服务器支持将新密码字段设为空，仅提交旧密码完成验证，可根据服务器兼容性调整。

内容的提问来源于stack exchange，提问作者Christian Rößner