使用ldapjs搜索Docker部署的LDAP服务器无匹配结果问题

问题概述 #

在Docker上部署了基于ldapjs的LDAP服务器，已添加一批用户记录，但客户端搜索始终无法匹配到结果。客户端连接及绑定均正常，推测问题出在搜索逻辑或服务器用户结构配置上。客户端发起搜索请求后总是在end阶段返回空结果，但记录确实存在；搜索cn=first时会返回不存在的错误，符合预期。

示例用户对象 #

{
    user: 'cn=first.last,ou=user_group,o=main',
    info: {
        cn: 'first.last',
        email: 'first.last@mail.com'
    }
}

搜索配置选项 #

let opts = {
    scope: 'base',
    attributes: ['dn', 'sn', 'cn', 'user', 'info']
};

客户端代码 #

初始化及绑定（类构造函数） #

constructor(url) {
    client = ldap.createClient({
        url: url
    });
    client.on('error', (err) => {
        log.error(`${err}`);
    });
    client.bind(username, password, function (err) {
        if (err) {
            log.error(`${err}`);
        }
    });
    log.info('Client Initialized.');
};

搜索代码 #

return new Promise((resolve, reject) => {
    var record = {};
    client.search(username, opts, function (err, res) {
        res.on('searchEntry', function (entry) {
            log.info(`Record Retrieved: ${JSON.stringify(entry.object)}`);
            record = entry.object;
        });
        res.on('error', function (err) {
            log.error(`Error: ${err.message}`);
        });
        res.on('end', function (result) {
            if (err) {
                reject(err);
            }
            else {
                log.info(`Status: ${result.status}`);
                resolve(record);
            }
        });
    });
});

已尝试操作 #

• 在Promise内部/外部执行绑定操作，无差异；
• 修改用户结构及搜索使用的用户名，无效果；
• 在选项中添加过滤器并调整参数，仍无结果。

问题分析与解决方案建议 #

1. 搜索范围(scope)设置不合理 #

当前scope设为base，该范围仅搜索指定的基准DN本身，意味着必须传入完全匹配的用户完整DN作为搜索的第一个参数，且该DN必须对应服务器上的一个有效条目。如果你的搜索基准DN不是完整的用户DN，或者条目路径不匹配，必然搜不到结果。

建议：
如果需要搜索整个用户组下的用户，将scope改为sub（递归搜索子树）或one（搜索下一级条目），同时调整基准DN为用户组DN，并添加过滤器精准匹配：

let opts = {
    scope: 'sub',
    filter: '(cn=first.last)', // 匹配cn属性
    attributes: ['dn', 'cn', 'mail'] // 使用LDAP标准属性名
};
// 基准DN设为用户组的DN
client.search('ou=user_group,o=main', opts, ...);

2. 用户条目结构不符合LDAP规范 #

从示例用户对象看，使用了自定义的user字段和嵌套info对象，但LDAP条目要求使用标准属性（如mail而非email），且必须包含objectClass属性（这是LDAP的强制要求，用于定义条目的类型）。嵌套结构会导致ldapjs无法正确解析和存储条目，进而无法被搜索到。

建议：
修正服务器端用户条目结构，遵循LDAP规范：

{
    dn: 'cn=first.last,ou=user_group,o=main',
    attributes: {
        cn: 'first.last',
        mail: 'first.last@mail.com',
        objectClass: ['inetOrgPerson', 'top'] // 必须指定objectClass
    }
}

3. 绑定操作的异步时序问题 #

当前构造函数中的client.bind是异步操作，可能在执行搜索时，绑定还未完成，导致搜索权限不足（即使日志显示绑定正常，也可能存在时序问题）。

建议：
将绑定操作改为异步等待，确保绑定完成后再执行搜索：

async initialize() {
    await new Promise((resolve, reject) => {
        client.bind(username, password, (err) => {
            if (err) reject(err);
            else resolve();
        });
    });
    log.info('Client Bound Successfully.');
}

在使用客户端前，先调用await clientInstance.initialize()确保绑定完成。

4. 属性指定错误 #

当前attributes中包含user、info这类非标准嵌套属性，ldapjs无法正确返回这些字段；同时使用了email而非LDAP标准属性mail，可能导致属性不匹配。

建议：
仅指定LDAP标准属性，比如dn、cn、mail、sn等，避免自定义嵌套属性。

内容的提问来源于stack exchange，提问作者madkimchi