Spring Boot嵌入式LDAP无DC时LDIF的DN配置及认证问题排查

我来帮你一步步拆解这个认证失败的问题，咱们从LDIF结构、配置匹配到调试手段逐一排查：

1. 先检查LDIF文件的核心缺失——用户条目 #

你贴的LDIF里只有顶层组织o=COMPANY和部门ou=department,o=COMPANY，完全没有实际的用户条目！LDAP认证的前提是服务器里存在对应账号的条目，并且包含uid和userPassword属性。

你需要在LDIF里添加类似这样的用户条目：

# 新增用户条目
dn: uid=john,ou=department,o=COMPANY
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: top
uid: john
cn: John Doe
sn: Doe
userPassword: {SHA}5en6G6MezRroT3XKqkdPOmY/BfQ=  # 这是密码"password"的SHA-1加密值

如果没有用户条目，LDAP服务器里根本找不到你要认证的账号，自然会返回「Bad Credentials」。

2. 验证userDnPatterns的匹配逻辑 #

你的配置里userDnPatterns("uid={0},ou=department")结合contextSource的url("ldap://localhost:8389/o=COMPANY")，最终生成的用户DN是uid={0},ou=department,o=COMPANY，这个格式是正确的——但前提是你的用户条目确实在ou=department这个组织单元下，和LDIF里的结构对应。

3. 确认密码编码器与LDIF中密码格式匹配 #

你用了LdapShaPasswordEncoder()，这要求LDIF里的userPassword必须是**{SHA}开头的SHA-1哈希值**，不能是明文或者其他加密格式（比如SSHA）。如果你的密码是明文，或者用了其他哈希方式，编码器会验证失败。

你可以用Java代码生成对应密码的SHA-1哈希值：

import org.springframework.security.crypto.password.LdapShaPasswordEncoder;

public class PasswordGenerator {
    public static void main(String[] args) {
        LdapShaPasswordEncoder encoder = new LdapShaPasswordEncoder();
        System.out.println(encoder.encode("your-password"));
    }
}

把生成的结果放到LDIF的userPassword属性里。

4. 调试嵌入式LDAP的条目加载情况 #

可以写个简单的测试类，验证嵌入式LDAP里是否真的加载了用户条目：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.ldap.core.AttributesMapper;
import org.springframework.ldap.core.LdapTemplate;
import org.springframework.stereotype.Component;
import java.util.List;

@Component
public class LdapDebugger {
    @Autowired
    private LdapTemplate ldapTemplate;

    public void listUsers() {
        List<String> userIds = ldapTemplate.search(
            "ou=department",
            "(objectClass=inetOrgPerson)",
            (AttributesMapper<String>) attrs -> attrs.get("uid").get().toString()
        );
        System.out.println("已加载的用户ID：" + userIds);
    }
}

在启动类里调用这个方法，或者写个单元测试，看看是否能查询到你添加的用户。

5. 开启LDAP调试日志定位细节 #

在application.properties里添加日志配置，查看认证过程的详细请求和错误：

logging.level.org.springframework.security=DEBUG
logging.level.org.springframework.ldap=DEBUG

日志会显示绑定的DN是什么、服务器返回的具体错误代码（比如是DN不存在还是密码不匹配），这能帮你精准定位问题。

最后总结 #

目前最可能的问题是LDIF缺少用户条目，其次是密码格式与编码器不匹配。按照上面的步骤逐一排查，应该能解决「Bad Credentials」的问题。

内容的提问来源于stack exchange，提问作者Balram Chauhan