Spring Security 5.7.2对接外部LDAP启动时抛出BadCredentialsException

问题排查与解决思路 #

1. 密码编码器与LDAP存储格式不匹配 #

Spring Security 5.7.x中，LdapPasswordComparisonAuthenticationManagerFactory默认使用DelegatingPasswordEncoder，若你的LDAP存储的是明文或特定加密格式的密码，必须显式指定对应编码器，否则会触发密码不匹配异常。

修正配置示例：

@Bean
public AuthenticationManager ldapAuthenticationManager(BaseLdapPathContextSource contextSource) {
    LdapPasswordComparisonAuthenticationManagerFactory factory = 
        new LdapPasswordComparisonAuthenticationManagerFactory(contextSource);
    // 若LDAP存储明文密码，使用NoOpPasswordEncoder（生产环境谨慎使用）
    factory.setPasswordEncoder(NoOpPasswordEncoder.getInstance());
    // 若是MD5加密密码，替换为Md5PasswordEncoder
    // factory.setPasswordEncoder(new Md5PasswordEncoder());
    factory.setUserDnPatterns("uid={0},ou=users");
    return factory.createAuthenticationManager();
}

2. 用户搜索配置有误 #

如果用户DN模式或搜索过滤条件配置错误，系统无法找到对应用户，此时Spring Security不会直接提示“用户不存在”，而是返回BadCredentialsException，容易误导排查方向。

重点检查以下配置：

• 确认userDnPatterns与LDAP目录结构匹配，比如用户存储在ou=employees,dc=example,dc=com下，需设置为uid={0},ou=employees
• 若使用搜索过滤器而非DN模式，确保userSearchBase和userSearchFilter配置正确：

factory.setUserSearchBase("ou=employees");
factory.setUserSearchFilter("uid={0}");

3. LDAP上下文源配置错误 #

绑定LDAP服务器的账号密码错误、LDAP URL填写不正确，会导致无法连接LDAP服务器，验证时抛出异常。

核对ContextSource配置：

@Bean
public BaseLdapPathContextSource contextSource() {
    DefaultSpringSecurityContextSource contextSource = 
        new DefaultSpringSecurityContextSource("ldap://your-ldap-server:389/dc=example,dc=com");
    contextSource.setUserDn("cn=admin,dc=example,dc=com");
    contextSource.setPassword("admin-password");
    return contextSource;
}

提示：若LDAP允许匿名绑定，可不设置userDn和password，但生产环境不建议这么做。

4. 新版本API使用不当 #

Spring Security 5.7.x简化了LDAP配置逻辑，旧版配置方式可能与新API冲突。需确保统一使用LdapPasswordComparisonAuthenticationManagerFactory配置，不要混合旧版AuthenticationManagerBuilder.ldapAuthentication()写法。

内容的提问来源于stack exchange，提问作者Fedor V