如何将多LDAP服务器的AuthenticationManagerBuilder配置转为AuthenticationManager

问题背景 #

原有基于GlobalAuthenticationConfigurerAdapter的多LDAP认证配置如下：

public static class AuthenticationConfiguration extends GlobalAuthenticationConfigurerAdapter {
    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
        for (String ldapUrl : ldapUrls) { //需包含多个LDAP服务器
            auth.ldapAuthentication()
                    .userSearchFilter("...")
                    .contextSource()
                    .url(ldapUrl + ldapBase)
                    .managerDn(ldapUsername)
                    .managerPassword(ldapPassword);
        }
    }
}

Spring Security官方目前推荐使用Bean方式配置LDAP认证，示例代码如下：

@Bean
AuthenticationManager ldapAuthenticationManager(
        BaseLdapPathContextSource contextSource) {
    LdapBindAuthenticationManagerFactory factory = 
        new LdapBindAuthenticationManagerFactory(contextSource);
    factory.setUserDnPatterns("uid={0},ou=people");
    factory.setUserDetailsContextMapper(new PersonContextMapper());
    return factory.createAuthenticationManager();
}

需要解决的问题：如何将原有多LDAP服务器的配置转换为新的Bean方式？即如何配置包含多个服务器地址、登录凭证的BaseLdapPathContextSource，并基于它构建认证管理器？

解决方案 #

1. 配置多地址的BaseLdapPathContextSource #

使用DefaultSpringSecurityContextSource（它实现了BaseLdapPathContextSource），支持传入多个LDAP服务器地址（用空格分隔），同时配置管理员凭证和基础DN：

@Bean
BaseLdapPathContextSource ldapContextSource() {
    // 拼接多个LDAP地址，用空格分隔
    String combinedLdapUrls = String.join(" ", ldapUrls.stream()
            .map(url -> url + ldapBase)
            .toArray(String[]::new));
    
    DefaultSpringSecurityContextSource contextSource = 
        new DefaultSpringSecurityContextSource(combinedLdapUrls);
    // 设置管理员DN和密码，对应原有配置的managerDn/managerPassword
    contextSource.setUserDn(ldapUsername);
    contextSource.setPassword(ldapPassword);
    
    // 可选：配置连接池、超时等参数
    // contextSource.setPooled(true);
    // contextSource.setConnectTimeout(3000);
    return contextSource;
}

2. 构建支持多LDAP的认证管理器 #

基于上面的contextSource，创建LdapBindAuthenticationManagerFactory，并配置用户搜索规则（对应原有userSearchFilter）：

@Bean
AuthenticationManager ldapAuthenticationManager(BaseLdapPathContextSource contextSource) {
    LdapBindAuthenticationManagerFactory factory = 
        new LdapBindAuthenticationManagerFactory(contextSource);
    
    // 替换为原有配置的userSearchFilter，比如"(uid={0})"
    factory.setUserSearchFilter("...");
    
    // 可选：配置用户详情映射器，和官方示例一致
    // factory.setUserDetailsContextMapper(new PersonContextMapper());
    
    return factory.createAuthenticationManager();
}

关键说明 #

• DefaultSpringSecurityContextSource支持多个LDAP地址，Spring Security会自动按顺序尝试连接，直到找到可用的服务器
• 如果原有配置是搜索用户后绑定（使用userSearchFilter），调用factory.setUserSearchFilter(...)；如果是直接DN绑定，则用factory.setUserDnPatterns(...)
• 管理员凭证的配置对应原有managerDn/managerPassword，通过contextSource.setUserDn()和contextSource.setPassword()实现

内容的提问来源于stack exchange，提问作者membersound