Spring LdapRepository无结果，但Spring Security可正常查询LDAP用户

我来帮你拆解下这个问题：Spring Security能正常用同一个LdapContextSource完成用户认证，但Spring Data LDAP的LdapRepository却查不到数据，甚至抓包发现没执行查询——核心原因出在User实体类的配置缺失，以及Spring Data LDAP和Spring Security LDAP的工作机制差异上。

最可能的根因：@Entry注解缺少objectClasses配置 #

Spring Data LDAP的Repository依赖实体类上的@Entry注解来生成查询条件，其中objectClasses参数是必须的——它告诉Spring LDAP要查询LDAP中哪些类型的条目。你的User类里@Entry(objectClasses = {})是空的，这会导致Spring Data LDAP无法生成有效的查询过滤条件，自然查不到任何结果。

而Spring Security的LDAP认证之所以能工作，是因为它直接指定了userSearchFilter("(uid={0})")，不需要依赖实体类的配置，只要能匹配到符合该filter的条目即可完成认证。

具体修复步骤 #

1. 修正User实体的@Entry注解 #

首先，你需要给@Entry添加正确的objectClasses值。这个值要和你LDAP服务器上用户条目的实际objectClass属性一致——你可以用ldapsearch命令查看用户条目的objectClass字段，比如：

ldapsearch -x -H ldaps://<domain> -b o=<org> uid=<uid> objectClass

通常用户条目会包含inetOrgPerson、organizationalPerson或top这类objectClass。修正后的实体类如下：

@Entry(objectClasses = {"inetOrgPerson", "top"}, base = "o=<org>")
public class User {
    @Id
    private Name id;
    @Attribute(name = "uid", readonly = true)
    private String username;

    // 现有getter方法保持不变
}

2. 确认LdapContextSource的绑定权限（可选） #

虽然你的ldapsearch用匿名查询（-x参数）能成功，但如果LDAP服务器要求绑定用户才能执行查询，你需要给LdapContextSource添加绑定账号信息：

@Bean
public LdapContextSource contextSource() {
    LdapContextSource contextSource = new LdapContextSource();
    contextSource.setUrl("ldaps://<domain>");
    contextSource.setBase("o=<org>");
    // 添加绑定用户信息（如果LDAP需要）
    contextSource.setUserDn("cn=your-bind-user,o=<org>");
    contextSource.setPassword("your-bind-password");
    return contextSource;
}

3. 开启LDAP日志排查（推荐） #

为了确认Spring Data LDAP是否执行了正确的查询，你可以开启DEBUG级别的日志。在application.properties中添加：

logging.level.org.springframework.ldap=DEBUG
logging.level.org.springframework.data.ldap=DEBUG

这样你就能在日志中看到Spring LDAP执行的具体查询语句、过滤条件，方便进一步排查问题。

4. 验证Repository方法 #

修正实体类后，重新测试findByUsername或findAll()方法，应该能正常返回结果了。如果还是有问题，你可以用LdapTemplate手动构建查询来验证：

@Autowired
private LdapTemplate ldapTemplate;

public User findUserByUsername(String username) {
    LdapQuery query = LdapQueryBuilder.query()
            .where("uid").is(username)
            .and("objectClass").is("inetOrgPerson");
    return ldapTemplate.findOne(query, User.class);
}

这个手动查询能帮你排除Repository方法命名或自动生成查询的问题。

总结 #

Spring Security LDAP和Spring Data LDAP的查询逻辑是相互独立的：前者靠显式指定的filter工作，后者依赖实体类的注解配置。你遇到的问题本质是实体类缺少必要的objectClass配置，导致Repository无法生成有效查询。按上面的步骤修正后，应该就能解决问题了。

内容的提问来源于stack exchange，提问作者Joba