Grails 2.4.4集成Active Directory：跳过登录映射权限问题

嗨，我来帮你一步步搞定这个AD用户自动登录并复用xyzUser权限的需求！结合你已经配置好的LDAP插件和Shiro环境，咱们可以这么做：

1. 让Shiro对接LDAP Realm #

首先得让Shiro知道用AD来验证用户身份，咱们可以直接配置Shiro的LDAP Realm，或者自定义Realm来适配需求。先在Config.groovy里添加Shiro的Realm配置：

grails.plugin.shiro.realms = [
    'org.apache.shiro.realm.ldap.JndiLdapRealm'
]

// 配置LDAP Realm的核心参数
grails.plugin.shiro.realm.ldap.jndiLdapRealm = [
    contextFactory: [
        url: "ldap://demo.myDomain.in",
        systemUsername: "uid=Username,ou=demo,dc=myDomain.in",
        systemPassword: "Password"
    ],
    // 注意：AD的用户名属性通常是`sAMAccountName`而非`uid`，请根据自己的AD结构调整
    userDnTemplate: "sAMAccountName={0},ou=demo,dc=myDomain.in",
    userSearchBase: "ou=demo,dc=myDomain.in",
    userSearchFilter: "(sAMAccountName={0})",
    authorizationEnabled: false, // 咱们不用AD里的权限，直接复用xyzUser的，所以关闭AD权限同步
]

如果你的AD确实使用uid作为用户名标识，保持原配置即可，否则一定要替换成AD标准的sAMAccountName属性。

2. 自定义Realm实现权限复用 #

为了让所有AD验证通过的用户都自动拥有xyzUser的权限，咱们自定义一个Realm继承LDAP Realm，重写权限获取逻辑：

新建CustomLdapRealm.groovy放在你的业务包下（比如grails-app/security）：

import org.apache.shiro.realm.ldap.JndiLdapRealm
import org.apache.shiro.authz.SimpleAuthorizationInfo
import org.apache.shiro.authz.AuthorizationInfo
import org.apache.shiro.subject.PrincipalCollection

class CustomLdapRealm extends JndiLdapRealm {

    @Override
    protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
        // 不管哪个AD用户登录，都返回xyzUser的所有权限
        def xyzUser = User.findByUsername("xyzUser") // 替换成你实际的用户实体类和查询方式
        if (!xyzUser) {
            return null
        }
        // 把xyzUser的角色/权限转换成Shiro需要的格式
        def roles = xyzUser.authorities.collect { it.authority }
        return new SimpleAuthorizationInfo(roles)
    }
}

然后把Shiro的Realm配置改成咱们自定义的：

grails.plugin.shiro.realms = [
    'your.package.CustomLdapRealm' // 替换成实际的包路径
]

// 同样配置LDAP参数
grails.plugin.shiro.realm.customLdapRealm = [
    contextFactory: [
        url: "ldap://demo.myDomain.in",
        systemUsername: "uid=Username,ou=demo,dc=myDomain.in",
        systemPassword: "Password"
    ],
    userDnTemplate: "sAMAccountName={0},ou=demo,dc=myDomain.in",
    userSearchBase: "ou=demo,dc=myDomain.in",
    userSearchFilter: "(sAMAccountName={0})",
]

3. 配置自动登录逻辑，跳过登录页 #

接下来要让AD用户访问应用时自动完成登录，不需要跳转到登录页面，分两种常见场景处理：

场景一：Windows集成认证（Kerberos/SPNEGO） #

如果你的Web服务器已经配置了AD集成认证（比如IIS或Tomcat配置了Kerberos），请求的REMOTE_USER头会自动携带AD用户名。咱们在Shiro的filter里添加自动登录逻辑：

在Config.groovy的Shiro filter配置中补充：

grails.plugin.shiro.filter.config = {
    authc {
        before = { request ->
            def remoteUser = request.getRemoteUser()
            if (remoteUser && !SecurityUtils.getSubject().isAuthenticated()) {
                try {
                    // 集成认证已经验证过用户身份，直接用用户名登录即可，密码传空
                    SecurityUtils.getSubject().login(new UsernamePasswordToken(remoteUser, ""))
                } catch (Exception e) {
                    log.error("AD自动登录失败: ${e.message}")
                    // 验证失败时，仍走正常登录流程
                }
            }
        }
    }
}

场景二：表单式AD登录（跳过默认登录页） #

如果不是集成认证，想让用户访问时直接触发AD验证而非填写本地表单，可以修改Shiro的filter链，把默认登录页逻辑替换为自定义的AD验证入口，不过这种体验不如集成认证顺畅。

4. 调整Shiro的URL访问规则 #

最后配置哪些URL需要认证，确保权限受限的资源都走AD验证：

grails.plugin.shiro.filter.chain = [
    '/public/**': 'anon', // 公开页面无需认证
    '/**': 'authc' // 其他所有页面需认证，AD用户自动登录，非AD用户将跳转登录页（若保留）
]

5. 测试验证要点 #

• 先确认LDAP配置能正常连接AD：可以写个简单的测试方法，用LDAP插件查询AD用户，确保配置的userDn和password具备查询权限
• 用AD用户访问应用，验证是否自动登录，且能访问xyzUser有权限的页面
• 若遇到验证失败，开启Shiro的debug日志，查看具体错误（常见原因是用户名属性配置错误或DN模板不匹配）

内容的提问来源于stack exchange，提问作者Vivek Buddhadev