Java使用LDAP验证登录时如何在InitialDirContext初始化后校验空密码认证有效性

问题现象 #

通过LDAP对接Active Directory实现身份认证与目标对象检索时：

• 传入正确的用户名（对应SECURITY_PRINCIPAL参数）与密码（对应SECURITY_CREDENTIALS参数）时，全流程运行正常
• 用户名或密码错误时，InitialDirContext初始化阶段会直接抛出异常
• 传入空字符串作为密码时，InitialDirContext初始化不会抛出异常，直到后续执行搜索操作时才会触发无有效绑定的失败报错

问题复现代码如下：

Hashtable <String, Object> env = new Hashtable <String, Object> ();         
env.put (javax.naming.Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
env.put (javax.naming.Context.PROVIDER_URL, "ldap://my.sys.abc:636");
env.put (javax.naming.Context.SECURITY_AUTHENTICATION, "simple");
env.put (javax.naming.Context.SECURITY_PRINCIPAL, "CN=myuser,OU=My,OU=Dev,DC=xyz,DC=abc");  
env.put (javax.naming.Context.SECURITY_CREDENTIALS, "mysecret");
env.put (javax.naming.Context.REFERRAL, "follow");

DirContext ctx = new InitialDirContext (env);
// 密码错误时会抛出异常
// 密码为空字符串时不会抛出异常

// 执行到此处时：密码正确，或者密码为空字符串   

SearchControls cons = new SearchControls ();
cons.setSearchScope (SearchControls.SUBTREE_SCOPE);
    
NamingEnumeration <SearchResult> ne = ctx.search(....);
// 如果密码为空字符串，此处会抛出异常  

问题根因 #

Active Directory默认支持LDAP匿名绑定，当传入空密码发起simple模式认证时，JNDI不会在初始化阶段完成实际的用户身份绑定校验，仅验证LDAP服务连通性后就返回匿名上下文对象，直到后续发起需要用户权限的操作（如子树搜索）时，才会发现匿名身份无对应权限抛出异常，属于LDAP协议标准行为，不是JNDI组件bug。

可行解决方案 #

• 前置空密码拦截
  AD默认安全策略禁止空密码账户登录，可在初始化InitialDirContext前直接做参数校验：如果SECURITY_CREDENTIALS参数值为null、空字符串或全空白字符串，直接判定认证失败，无需发起LDAP连接，性能最优。

• 初始化后强制触发绑定校验
  如果需要兼容特殊场景的空密码校验逻辑，可在拿到DirContext实例后，立刻执行一个只有已认证用户才能完成的轻量操作，强制触发身份校验，不需要等到业务搜索阶段。示例代码如下：

  DirContext ctx = new InitialDirContext(env);
  try {
      // 查找当前绑定用户自身的DN条目，匿名绑定无权限完成该操作
      ctx.lookup((String) env.get(javax.naming.Context.SECURITY_PRINCIPAL));
  } catch (NamingException e) {
      // 捕获异常即代表认证失败，包含空密码导致的匿名绑定场景
      ctx.close();
      throw new RuntimeException("身份认证失败", e);
  }
  // 校验通过再执行后续业务搜索逻辑
  

  该方案不依赖AD侧的配置，兼容性最强，只要匿名用户没有权限读取目标用户的目录条目，就能准确识别空密码的非法认证请求。

• 调整JNDI连接参数禁用匿名回退
  可在连接参数中添加配置，强制JNDI在初始化阶段完成身份绑定，不允许回退到匿名连接：

  // 缩短连接等待时间，配合异常捕获识别非法绑定
  env.put("com.sun.jndi.ldap.connect.timeout", "5000");
  env.put("com.sun.jndi.ldap.read.timeout", "5000");
  

  注意该方案在不同版本JDK和AD配置下表现存在差异，优先选择前两种方案。

内容的提问来源于stack exchange，提问作者chris01