使用Django 4.1与ldap3时，如何回滚LDAP删除操作？

LDAP原生没有删除后直接回滚的API，因为删除操作默认立即生效。要实现需求，可通过以下两种方案：

方案一：预删除备份+条件触发重建（通用所有LDAP服务器） #

核心思路是删除前完整备份用户条目数据，若满足回滚条件，就用备份数据重新创建用户。

示例代码 #

from ldap3 import Server, Connection, ALL

# 初始化LDAP连接
s = Server('servername', get_info=ALL)
c = Connection(s, user='user_dn', password='user_password')
c.bind()  # 必须执行绑定操作

user_dn = 'cn=user1,ou=users,o=company'
# 1. 备份用户完整数据
c.search(user_dn, '(objectClass=*)', attributes='*')
user_backup = None
if c.entries:
    user_backup = {
        'dn': user_dn,
        'attributes': c.entries[0].entry_attributes_as_dict
    }

# 2. 执行删除操作
if user_backup:
    c.delete(user_dn)

# 3. 条件检查与回滚
rollback_condition = True  # 替换为你的实际判断逻辑
if rollback_condition and user_backup:
    # 清理LDAP系统自动生成的不可修改属性（根据服务器调整）
    system_attrs = ['entryUUID', 'createTimestamp', 'modifyTimestamp']
    for attr in system_attrs:
        user_backup['attributes'].pop(attr, None)
    
    # 重建用户条目
    c.add(user_backup['dn'], attributes=user_backup['attributes'])
    if c.result['result'] == 0:
        print("用户已成功恢复")
    else:
        print(f"恢复失败: {c.result['description']}")

注意事项 #

• 备份时必须获取objectClass属性，这是创建LDAP条目必需的核心属性
• 不同LDAP服务器的系统属性（如自动生成的时间戳、唯一ID）无法手动设置，需提前排除
• 若用户存在关联子条目（如个人通讯录、组关联），需额外备份并恢复这些关联数据

方案二：LDAP事务回滚（仅支持部分服务器） #

部分LDAP服务器（如OpenLDAP 2.4+、配置后的Active Directory）支持事务操作，可将删除操作包裹在事务中，条件不满足时直接回滚事务。

示例代码 #

from ldap3 import Server, Connection, ALL
from ldap3.extend.microsoft.transaction import Transaction

# 初始化支持事务的LDAP连接
s = Server('servername', get_info=ALL)
c = Connection(s, user='user_dn', password='user_password')
c.bind()

user_dn = 'cn=user1,ou=users,o=company'
transaction = Transaction(c)
transaction.begin()

try:
    # 在事务内执行删除
    c.delete(user_dn)
    
    # 条件检查
    rollback_condition = True  # 替换为你的实际判断逻辑
    if rollback_condition:
        transaction.rollback()
        print("删除操作已回滚")
    else:
        transaction.commit()
        print("删除操作已提交")
except Exception as e:
    # 异常时自动回滚
    transaction.rollback()
    print(f"操作异常，已回滚: {str(e)}")

注意事项 #

• 需确认你的LDAP服务器支持事务功能，Active Directory默认不支持，需额外配置
• 绑定用户必须拥有事务操作的权限

Django集成建议 #

在Django中使用时，可将备份、删除、恢复逻辑封装为自定义工具类，或结合Django信号机制（如pre_delete信号），在删除用户前自动触发备份操作。

内容的提问来源于stack exchange，提问作者Alireza Shebro