如何配置Spring Security LDAP的groupRoleAttribute获取同级RolesList？

首先先明确你的LDAP树结构，方便后续配置分析：

• ProfilesList
  • Profile1
    • UsersList（成员：uniqueMember=User1、uniqueMember=User2）
    • RolesList（成员：uniqueMember=Role1、uniqueMember=Role2）
  • Profile2
    • UsersList（成员：uniqueMember=User3、uniqueMember=User4）
    • RolesList（成员：uniqueMember=Role3、uniqueMember=Role4）

你的需求是通过DefaultLdapAuthoritiesPopulator配置groupRoleAttribute，从而获取和当前用户所在UsersList同级的RolesList里的角色权限。这里分两种情况给你方案：

方案一：尝试默认DefaultLdapAuthoritiesPopulator配置 #

默认组件的核心是指定角色组的搜索范围、匹配规则，以及从角色组中提取权限的属性。不过因为你的用户和角色组不在同一层级，默认逻辑会有局限，先给你基础配置参考：

配置代码示例 #

<beans:bean class="org.springframework.security.ldap.userdetails.DefaultLdapAuthoritiesPopulator" id="ldapAuthoritiesPopulator">
    <!-- 传入LDAP上下文源 -->
    <beans:constructor-arg ref="ldapContextSource"/>
    <!-- 角色组搜索基准：设为ProfilesList的DN，比如"ou=ProfilesList" -->
    <beans:constructor-arg value="ou=ProfilesList"/>
    
    <!-- 搜索过滤器：定位所有名为RolesList的组条目，假设RolesList的objectClass是groupOfUniqueNames -->
    <beans:property name="groupSearchFilter" value="(&amp;(objectClass=groupOfUniqueNames)(cn=RolesList))"/>
    <!-- 关键配置：设置groupRoleAttribute为uniqueMember，从RolesList中提取成员作为角色 -->
    <beans:property name="groupRoleAttribute" value="uniqueMember"/>
    <!-- 开启子树搜索，确保能遍历到Profile节点下的RolesList -->
    <beans:property name="searchSubtree" value="true"/>
    <!-- 可选：给角色添加前缀，符合Spring Security权限命名习惯 -->
    <beans:property name="rolePrefix" value="ROLE_"/>
</beans:bean>

注意事项 #

默认组件的逻辑是搜索包含当前用户作为成员的组，但你的用户在UsersList、RolesList是同级节点，默认逻辑无法自动关联用户和对应Profile下的RolesList，大概率会取不到权限，所以更推荐方案二。

方案二：自定义AuthoritiesPopulator（更可靠） #

继承DefaultLdapAuthoritiesPopulator，重写权限获取逻辑，先定位用户所在的Profile节点，再精准搜索该节点下的RolesList提取角色。

自定义类代码示例 #

import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.ldap.search.LdapQuery;
import org.springframework.security.ldap.search.LdapQueryBuilder;
import org.springframework.security.ldap.userdetails.DefaultLdapAuthoritiesPopulator;
import org.springframework.ldap.core.AttributesMapper;
import org.springframework.ldap.core.DirContextAdapter;
import org.springframework.ldap.core.LdapTemplate;
import org.springframework.ldap.core.support.LdapContextSource;

import java.util.HashSet;
import java.util.List;
import java.util.Set;

public class ProfileBasedLdapAuthoritiesPopulator extends DefaultLdapAuthoritiesPopulator {

    private LdapTemplate ldapTemplate;

    public ProfileBasedLdapAuthoritiesPopulator(LdapContextSource contextSource, String groupSearchBase) {
        super(contextSource, groupSearchBase);
        this.ldapTemplate = new LdapTemplate(contextSource);
        setRolePrefix("ROLE_");
    }

    @Override
    protected Set<GrantedAuthority> getGroupMembershipRoles(String userDn, String username) {
        Set<GrantedAuthority> authorities = new HashSet<>();
        
        // 解析用户DN，提取所在的Profile节点DN
        // 示例用户DN：uniqueMember=User1,UsersList,Profile1,ProfilesList
        String[] dnParts = userDn.split(",");
        String profileDn = dnParts[2] + "," + dnParts[3];

        // 搜索该Profile下的RolesList条目
        LdapQuery query = LdapQueryBuilder.query()
                .base(profileDn)
                .where("cn").is("RolesList")
                .and("objectClass").is("groupOfUniqueNames");

        List<DirContextAdapter> rolesLists = ldapTemplate.search(query, (AttributesMapper<DirContextAdapter>) attrs -> new DirContextAdapter(attrs));
        
        // 提取RolesList中的uniqueMember作为角色
        for (DirContextAdapter rolesList : rolesLists) {
            String[] roleDns = rolesList.getStringAttributes("uniqueMember");
            if (roleDns != null) {
                for (String roleDn : roleDns) {
                    // 从roleDn中提取角色名称，比如uniqueMember=Role1 -> Role1
                    String roleName = roleDn.split("=")[1];
                    authorities.add(new SimpleGrantedAuthority(getRolePrefix() + roleName));
                }
            }
        }
        return authorities;
    }
}

配置自定义组件 #

<beans:bean class="com.yourpackage.ProfileBasedLdapAuthoritiesPopulator" id="ldapAuthoritiesPopulator">
    <beans:constructor-arg ref="ldapContextSource"/>
    <beans:constructor-arg value="ou=ProfilesList"/>
</beans:bean>

说明 #

这种方式完全自定义了权限获取逻辑，先定位用户所在的Profile，再精准搜索该Profile下的RolesList，完美适配你的LDAP层级结构，不会出现默认组件的关联问题。

内容的提问来源于stack exchange，提问作者stanicmail