Spring Boot项目中LDAP认证结合JWT实现方案咨询

核心逻辑是拆分Spring Security的LDAP认证流程与JWT生成/校验流程：登录接口走LDAP校验身份，校验通过后返回JWT令牌，其余业务接口走JWT校验逻辑，无需重复查询LDAP服务。

1. 依赖引入 #

首先在pom.xml中引入所需的核心依赖：

<!-- Spring Security 基础依赖 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<!-- Spring Security LDAP 支持 -->
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-ldap</artifactId>
</dependency>
<!-- UnboundID LDAP SDK，兼容性优于默认SUN LDAP实现 -->
<dependency>
    <groupId>com.unboundid</groupId>
    <artifactId>unboundid-ldapsdk</artifactId>
    <scope>runtime</scope>
</dependency>
<!-- JJWT JWT处理工具 -->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

2. 基础配置 #

在application.yml中配置LDAP连接参数和JWT自定义参数：

spring:
  ldap:
    urls: ldap://你的LDAP服务地址:389
    base: dc=example,dc=com
    username: cn=admin,dc=example,dc=com # LDAP管理账号，用于查询用户DN
    password: 管理账号密码
    user:
      search-base: ou=users # 用户所在组织单元
      search-filter: (uid={0}) # 用户匹配规则，AD域可调整为(sAMAccountName={0})
# JWT配置
jwt:
  secret: 至少32位的自定义加密密钥
  expiration: 86400000 # 令牌有效期，单位毫秒，此处为1天

注意：LDAP的搜索规则需要和你实际的目录结构完全匹配，否则会出现用户找不到的问题，可提前用Apache Directory Studio等工具测试搜索规则有效性。

3. 核心组件开发 #

3.1 JWT工具类 #

封装JWT通用能力，核心实现三个方法：

• generateToken(UserDetails user)：根据用户信息生成JWT令牌
• validateToken(String token, UserDetails user)：校验令牌有效性
• extractUsername(String token)：从令牌中解析用户名
  HS256算法要求密钥长度至少为256bit（即32个字符），否则会抛出初始化异常

3.2 登录接口开发 #

• 对外暴露POST /auth/login接口，接收用户名、密码请求参数
• 调用AuthenticationManager的authenticate方法，传入封装了用户名密码的UsernamePasswordAuthenticationToken，底层会自动执行LDAP身份校验
• 校验无异常则说明LDAP认证通过，调用JWT工具类生成令牌返回给前端

不要自行实现LDAP绑定、密码比对逻辑，直接使用Spring Security封装好的LDAP认证Provider，避免引入安全漏洞。

3.3 JWT校验过滤器 #

自定义JwtAuthenticationFilter继承OncePerRequestFilter，实现逻辑如下：

• 从请求头Authorization字段提取Bearer类型的JWT令牌
• 校验令牌合法性，解析出用户名后查询用户权限信息
• 校验通过后将用户认证信息存入SecurityContextHolder，供后续接口权限校验使用
• 该过滤器需要配置在Spring Security的UsernamePasswordAuthenticationFilter之前执行

4. Spring Security 配置类编写 #

核心配置内容：

• 注册LDAP认证Provider：设置LDAP上下文源、用户搜索规则、密码编码器（如果LDAP存储的是哈希密码，需要指定对应加密算法）
• 配置接口访问规则：/auth/login接口放行无需认证，其余所有接口需要认证
• 将自定义的JWT过滤器加入过滤器链
• 关闭Session创建策略：配置sessionCreationPolicy(SessionCreationPolicy.STATELESS)，JWT模式不需要服务端存储Session

常见踩坑点 #

• LDAP用户查询不到：优先排查search-filter和search-base配置是否匹配实际LDAP目录结构
• 跨域问题：前后端分离项目需要在Security配置中放开跨域，或者单独注册CorsFilter
• 令牌异常处理：可在JWT过滤器中统一捕获令牌过期、签名错误等异常，返回标准401状态码和错误提示

内容的提问来源于stack exchange，提问作者Sai Ram