从你给出的错误信息和配置代码来看，这个问题的核心原因是你的Spring Security LDAP配置没有指定一个具备权限的绑定账号，导致应用尝试匿名访问LDAP服务器时被拒绝——你的企业LDAP（看起来是Active Directory，错误里的DSID标识是AD的特征）不允许匿名操作用户凭据相关的内容。

错误原因拆解 #

错误提示里的：

LDAP: error code 1 - 000004DC: LdapErr: DSID-0C090A7D, comment: In order to perform this operation a successful bind must be completed on the connection.

明确说明：在执行密码对比操作前，必须先通过一个有效的账号绑定到LDAP连接上。而你当前的配置只指定了LDAP服务器的URL，没有配置用于初始化绑定的服务账号（manager DN和密码），Spring Security默认尝试匿名绑定，这被你的LDAP服务器拒绝了。

修复方案 #

1. 添加LDAP服务账号配置

向企业LDAP管理员申请一个拥有读取用户信息权限的服务账号，然后在contextSource中添加managerDn和managerPassword配置。同时注意修正你配置里的笔误：ddc=ds应该是dc=ds。

修改后的代码示例：

@Override 
public void configure(AuthenticationManagerBuilder auth) throws Exception { 
    auth.ldapAuthentication()
        .userDnPatterns("username={0},ou=people")
        .contextSource()
            .url("ldap://ldap.example.com:389/dc=ms,dc=ds,dc=example,dc=com")
            .managerDn("cn=ldap-service-account,ou=service-accounts,dc=ms,dc=ds,dc=example,dc=com") // 替换为实际服务账号DN
            .managerPassword("your-service-account-password") // 替换为实际密码
            .and()
        .passwordCompare()
            .passwordAttribute("password");
}

2. 可选：改用用户搜索模式（如果userDnPatterns不适用）

如果你的LDAP用户DN不是固定的username={0},ou=people格式（比如用户分布在不同OU下），可以改用userSearchFilter和userSearchBase来动态搜索用户：

@Override 
public void configure(AuthenticationManagerBuilder auth) throws Exception { 
    auth.ldapAuthentication()
        .userSearchBase("ou=people") // 搜索根路径
        .userSearchFilter("(username={0})") // 根据username字段搜索用户
        .contextSource()
            .url("ldap://ldap.example.com:389/dc=ms,dc=ds,dc=example,dc=com")
            .managerDn("cn=ldap-service-account,ou=service-accounts,dc=ms,dc=ds,dc=example,dc=com")
            .managerPassword("your-service-account-password")
            .and()
        .passwordCompare()
            .passwordAttribute("password");
}

3. 额外检查点

• 确认密码属性名称：如果是Active Directory，通常密码属性是unicodePwd而非password，需要和LDAP管理员确认实际的属性名。
• 验证服务账号权限：确保服务账号有权限读取目标用户的密码属性，否则即使绑定成功，也会出现读取失败的问题。
• 检查LDAP URL正确性：确保域名、端口、根节点（dc段）完全正确，避免拼写错误。

内容的提问来源于stack exchange，提问作者PBLead