Spring Boot LDAP认证出现NameNotFoundException问题求助

我之前把LDAP认证从Tomcat迁移到Spring Boot时，也碰到过一模一样的情况——日志明明提示用户条目找到了，结果还是蹦出NameNotFoundException，折腾了好一阵才摸清楚原因。下面是几个最可能的排查方向和解决办法：

1. 对齐用户DN的构建逻辑与原Tomcat配置 #

Tomcat的LDAP配置通常比较简洁，比如可能直接用userPattern="uid={0},ou=users,dc=example,dc=com"匹配用户DN。但Spring Boot的LDAP认证有两种配置方式：userDnPatterns或者userSearchFilter+userSearchBase，如果这部分和原配置不对应，就会出现“找到用户但DN不匹配”的矛盾情况。

举个例子：

• 如果原Tomcat用直接DN匹配，Spring Boot里对应配置：

  .userDnPatterns("uid={0},ou=users")
  

• 如果原Tomcat用搜索用户条目，则要对应配置搜索过滤和基础路径：

  .userSearchFilter("(uid={0})") // 和原配置的用户标识属性一致，比如原Tomcat用cn就改成(cn={0})
  .userSearchBase("ou=users")
  

2. 确认LDAP搜索范围与原配置一致 #

Spring Security LDAP默认的搜索范围是SUBTREE（递归搜索所有子节点），但有些Tomcat配置可能用的是ONELEVEL（只搜索当前层级）。如果你的用户条目在指定路径的直接子节点，而Spring Boot用了递归搜索，可能会找到多个条目或者后续处理出错。可以显式指定搜索范围：

.ldapAuthentication()
    .userSearchFilter("(uid={0})")
    .userSearchBase("ou=users")
    .searchScope(SearchScope.ONELEVEL) // 或者SUBTREE，和原Tomcat配置对齐

3. 排查组搜索配置是否出错 #

有时候日志里的“找到用户”是真的，但后续加载用户权限时，组搜索的配置错误会抛出NameNotFoundException。比如原Tomcat里的组匹配规则是groupSearchFilter="(member={0})"，但Spring Boot里写错了过滤规则，或者groupSearchBase路径不对，导致查找组条目失败。

可以暂时注释掉组相关配置，只保留用户认证，看看是否还会报错。如果不报错了，就说明问题出在组配置上，对齐原Tomcat的组参数即可。

4. 开启详细LDAP日志定位问题 #

如果上面的方法都没解决，建议开启Spring LDAP的DEBUG日志，看看具体是哪个DN查找失败了。在application.properties里添加：

logging.level.org.springframework.security.ldap=DEBUG
logging.level.org.springframework.ldap=DEBUG

日志里会显示完整的搜索请求、找到的用户DN，以及后续尝试查找的其他条目（比如组），很容易定位到到底是哪个步骤抛出的异常。

参考配置示例 #

这里给一个和Tomcat配置对齐的Spring Boot LDAP认证配置模板，你可以对照原Tomcat的参数修改：

@Configuration
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .ldapAuthentication()
                // 替换成你原Tomcat的用户匹配规则
                .userSearchFilter("(uid={0})")
                .userSearchBase("ou=users")
                // 替换成你原Tomcat的组匹配规则（如果需要权限控制）
                .groupSearchBase("ou=groups")
                .groupSearchFilter("(member={0})")
                // LDAP服务器连接信息，和原Tomcat一致
                .contextSource()
                    .url("ldap://your-ldap-server:389/dc=your-domain,dc=com")
                    .managerDn("cn=admin,dc=your-domain,dc=com")
                    .managerPassword("your-admin-password");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            .httpBasic(); // 和你用的认证方式一致，比如formLogin()
    }
}

内容的提问来源于stack exchange，提问作者Mark D