如何在ldap3中使用邮箱替代CN进行身份认证？

当然可以，只要LDAP服务器配置允许，完全能通过邮箱完成认证，核心是让服务器通过邮箱属性定位到对应的用户条目，下面是具体的实现思路和操作：

• 确认用户条目存在邮箱属性
  先检查你的用户条目里是否有存储邮箱的字段（通常是mail属性），比如test用户的条目必须包含mail: test@example.org，这是用邮箱认证的前提。

• 两种绑定方式选择

  1. 直接用邮箱作为绑定标识符
     部分LDAP服务器（比如Active Directory、OpenLDAP开启对应配置后）允许直接将邮箱字符串作为绑定用户名，后台会自动根据mail属性查找用户DN。比如直接执行：

     ldapbind -x -D "test@example.org" -W
     

     这种方式无需拼接完整DN，操作更简洁，但需要服务器支持这种“别名绑定”。

  2. 先搜索DN再绑定
     如果服务器不支持直接用邮箱绑定，就先通过邮箱属性搜索用户的完整DN，再用DN进行绑定：

     # 第一步：搜索用户DN
     ldapsearch -x -b "dc=example,dc=org" "mail=test@example.org" dn
     # 第二步：用返回的DN执行绑定
     ldapbind -x -D "cn=test,ou=users,dc=example,dc=org" -W
     

• 服务器配置调整（按需）
  如果你用的是OpenLDAP，可能需要修改配置开启邮箱绑定支持：

  • 编辑动态配置文件，添加允许mail作为登录属性的规则；
  • 确保ACL允许对mail属性的搜索和读取权限，避免认证时出现权限拒绝。

内容的提问来源于stack exchange，提问作者nipuro