Spring Security同时集成本地DB与LDAP认证出现ClassCastException如何解决

异常原因 #

Spring Security LDAP认证模块默认认证成功后，返回的Principal对象是org.springframework.security.ldap.userdetails.LdapUserDetailsImpl类型，和你自定义的UserDetailsImpl没有继承/实现关联，强转必然抛出ClassCastException。

解决方案（从根源解决类型不一致问题） #

步骤1：自定义LDAP用户详情映射器

实现Spring Security提供的UserDetailsContextMapper接口，将LDAP查询返回的用户信息转换为你自定义的UserDetailsImpl对象：

@Component
public class CustomLdapUserDetailsMapper implements UserDetailsContextMapper {
    @Autowired
    private AuthUserRepository userRepository;
    @Autowired
    private UserDetailsServiceImpl userDetailsService;

    @Override
    public UserDetails mapUserFromContext(DirContextOperations ctx, String username, Collection<? extends GrantedAuthority> authorities) {
        // 优先从本地数据库查询用户，匹配现有业务逻辑
        try {
            return userDetailsService.loadUserByUsername(username);
        } catch (UsernameNotFoundException e) {
            // 本地无该LDAP用户时，可选择自动同步创建本地用户，或构造临时UserDetailsImpl
            User ldapUser = new User();
            ldapUser.setUsername(username);
            // 从LDAP上下文读取属性填充，示例：读取邮箱字段
            ldapUser.setEmail(ctx.getStringAttribute("mail"));
            // 设置默认角色，可根据业务调整
            Set<Role> roles = new HashSet<>();
            roles.add(new Role(RoleEnum.ROLE_USER));
            ldapUser.setRoles(roles);
            ldapUser.setFavDashboard("default");
            // 可选：保存到本地数据库，不需要同步可以去掉这行
            userRepository.save(ldapUser);
            return UserDetailsImpl.build(ldapUser);
        }
    }

    @Override
    public void mapUserToContext(UserDetails user, DirContextAdapter ctx) {
        // 只有需要把用户信息反向同步到LDAP的场景才需要实现，普通认证场景无需写逻辑
    }
}

步骤2：在LDAP认证配置中注入自定义映射器

修改WebSecurityConfig.java：

1. 先注入自定义映射器

@Autowired
private CustomLdapUserDetailsMapper customLdapUserDetailsMapper;

2. 修改LDAP认证配置，添加映射器声明

@Override
public void configure(AuthenticationManagerBuilder authenticationManagerBuilder) throws Exception {
    authenticationManagerBuilder.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    authenticationManagerBuilder.ldapAuthentication()
        .userSearchFilter("uid={0}")
        .userSearchBase("")
        .contextSource()
            .url("ldap://ldap.xxx.fr:19005/dc=xxx,dc=fr")
            .port(19005)
            .managerDn("cn=admin,dc=xxx,dc=fr")
            .managerPassword("password").and()
        .passwordCompare().passwordEncoder(new LdapShaPasswordEncoder())
        .passwordAttribute("userPassword").and()
        .ldapAuthoritiesPopulator(ldapUserAuthoritiesPopulator)
        // 新增这行，指定自定义用户映射器
        .userDetailsContextMapper(customLdapUserDetailsMapper);
}

步骤3：可选兼容优化（避免后续扩展再出问题）

可以在强转位置增加类型判断兜底，后续新增其他认证方式也不会报错，示例修改JwtUtils的generateJwtToken方法：

public String generateJwtToken(Authentication authentication) {
    Object principal = authentication.getPrincipal();
    UserDetailsImpl userPrincipal;
    if (principal instanceof UserDetailsImpl) {
        userPrincipal = (UserDetailsImpl) principal;
    } else if (principal instanceof UserDetails) {
        // 适配其他UserDetails实现，兜底从本地查用户
        UserDetails ud = (UserDetails) principal;
        userPrincipal = userDetailsService.loadUserByUsername(ud.getUsername());
    } else {
        throw new BadCredentialsException("无效的用户凭证");
    }
    // 原有JWT生成逻辑保持不变
    return Jwts.builder()
            .setSubject((userPrincipal.getUsername()))
            .setIssuedAt(new Date())
            .setExpiration(new Date((new Date()).getTime() + jwtExpirationMs))
            .signWith(SignatureAlgorithm.HS512, jwtSecret)
            .claim("favDashboard", userPrincipal.getFavorite())
            .claim("userId", userPrincipal.getId())
            .compact();
}

内容的提问来源于stack exchange，提问作者Ouj.Soukaina