使用Spring LdapTemplate获取AD全属性：Spring Boot应用无法获取员工号

嘿，这个问题我之前帮不少开发者排查过——AD里明明能看到的属性，Spring LDAP上下文里就是拿不到，大概率是这几个原因之一，咱们一步步来解决：

1. 先搞清楚AD里员工号对应的真实LDAP属性名 #

别被AD Explorer里显示的友好名称误导了！你得看属性的LDAP原生名称，比如AD默认的员工号属性是employeeID，但有些公司会自定义属性（比如empNumber或者自己起的名字）。在AD Explorer里点开属性详情，找Attribute Name那栏，记下来这个准确的名字，这是第一步。

2. 检查你的LDAP查询有没有主动请求这个属性 #

Spring LDAP默认不会返回AD的所有属性，只会拉取一组常用属性。如果你的查询没明确要员工号，那上下文里自然没有。

举个例子，如果你用LdapTemplate查询，得显式指定要返回的属性：

// 构建查询时指定要获取的属性
SearchControls controls = new SearchControls();
controls.setReturningAttributes(new String[]{"cn", "mail", "department", "employeeID"}); // 加上你的员工号属性名

List<CustomUser> users = ldapTemplate.search(
    query().where("samAccountName").is(username),
    controls,
    (AttributesMapper<CustomUser>) attrs -> {
        CustomUser user = new CustomUser();
        user.setEmployeeId((String) attrs.get("employeeID").get()); // 这里用刚才确认的属性名
        // 其他属性映射...
        return user;
    }
);

如果是用Spring Security的UserDetailsContextMapper，直接在映射时尝试获取：

@Override
public UserDetails mapUserFromContext(DirContextOperations ctx, String username, Collection<? extends GrantedAuthority> authorities) {
    String employeeId = ctx.getStringAttribute("employeeID"); // 替换成你找到的属性名
    // 其他属性填充逻辑...
    return new CustomUserDetails(username, ..., employeeId);
}

3. 排查AD绑定账号的权限问题 #

有时候不是代码的问题，而是你用来连接AD的服务账号没权限读这个员工号属性。很多企业会把员工号这类信息设为敏感属性，限制普通账号读取。你可以找AD管理员确认下：当前Spring Boot配置里的spring.ldap.username对应的账号，有没有读取该属性的权限。

4. 打印所有返回的属性，确认AD到底给没给 #

如果上面几步都没问题，那咱们来个"笨办法"：把AD返回的所有属性都打印出来，看看有没有你要的员工号。代码可以这么写：

// 在DirContextOperations对象上遍历所有属性
NamingEnumeration<String> attrNames = ctx.getAttributes().getIDs();
while (attrNames.hasMoreElements()) {
    String attrName = attrNames.nextElement();
    System.out.println("AD返回的属性：" + attrName);
}

如果打印结果里没有员工号属性，说明AD根本没返回它，那要么是查询没请求，要么是权限不够；如果有这个属性名，那就是你之前的映射代码里用错了名字，赶紧改过来就行。

5. 特殊情况：属性是构造属性需要特殊处理 #

极少数情况下，员工号属性可能是AD的"构造属性"（这类属性不会默认返回），这时候必须在查询时显式指定要返回它，就像我在第二步里写的那样，用SearchControls.setReturningAttributes()把它加进去才行。

内容的提问来源于stack exchange，提问作者K. G