Symfony 4应用LDAP登录后以当前用户绑定修改目录的问题

我完全懂你现在的困扰——Symfony默认不会保留用户的明文密码，毕竟这涉及安全问题，但现在要实现“用当前登录用户自己的权限修改LDAP”，就得想办法拿到能用来bind的有效凭据。下面给你几个实用的方案，按安全性和可行性排序：

方案1：LDAP代理认证（推荐，安全无密码存储） #

如果你的LDAP服务器（比如OpenLDAP、部分版本的Active Directory）支持代理认证，这是最优解。原理是用一个拥有代理权限的服务账号先绑定LDAP，然后在执行修改操作时，通过LDAP控制项切换为当前登录用户的身份——既不用存储用户密码，又能以用户自身权限操作。

具体步骤：

1. 先在LDAP服务器上配置一个服务账号（比如cn=proxy,dc=example,dc=com），给它授予代理其他用户操作的权限（不同LDAP服务器配置方式不同，比如OpenLDAP需要设置olcAuthzPolicy）
2. 在Symfony中，用这个服务账号初始化LDAP连接：

   $ldap = $this->get('ldap');
   $ldap->bind('cn=proxy,dc=example,dc=com', 'proxy_password');
   

3. 获取当前登录用户的DN（比如从用户实体的dn字段，或者通过LDAP查询得到）
4. 创建代理认证控制项，并添加到LDAP操作中：

   use Symfony\Component\Ldap\Adapter\ExtLdap\Control\ProxyAuthorizationControl;
   
   $userDn = $this->getUser()->getDn(); // 假设用户实体存储了DN
   $control = new ProxyAuthorizationControl($userDn);
   
   // 执行修改操作时带上这个控制
   $entry = $ldap->getEntry($userDn);
   $entry->setAttribute('someAttribute', ['newValue']);
   $ldap->update($entry, null, [$control]);
   

这个方案完全避免了存储用户密码，安全性最高，只要LDAP服务器支持就优先用它。

方案2：登录时临时存储加密后的密码 #

如果LDAP不支持代理认证，那只能退而求其次，在登录时临时保存用户的明文密码（但要通过Symfony的加密session来保障安全）。

具体实现：

1. 自定义一个Authenticator（Symfony 4.3+用新的Security Authenticator系统，旧版本用Guard Authenticator），在验证凭据通过后，把密码存入加密的session：

   // 在你的Authenticator的checkCredentials方法中
   public function checkCredentials($credentials, UserInterface $user)
   {
       $password = $credentials['password'];
       // 验证LDAP凭据的逻辑...
       if ($this->ldap->bind($user->getDn(), $password)) {
           // 验证通过，把密码存入加密session
           $this->session->set('ldap_user_password', $password);
           return true;
       }
       return false;
   }
   

2. 在需要修改LDAP的服务/控制器中，取出密码并绑定：

   $user = $this->getUser();
   $password = $this->session->get('ldap_user_password');
   if (!$password) {
       throw new AccessDeniedException('无法获取用户凭据，请重新登录');
   }
   
   $ldap = $this->get('ldap');
   $ldap->bind($user->getDn(), $password);
   
   // 执行修改操作...
   

3. 别忘了在用户退出登录时清除session中的密码：

   // 在LogoutHandler中
   public function logout(Request $request, Response $response, TokenInterface $token)
   {
       $this->session->remove('ldap_user_password');
   }
   

⚠️ 注意事项：

• 确保Symfony的session配置了加密（默认是开启的，但要检查config/packages/framework.yaml中的session.storage_factory_id是否用了加密的存储）
• 缩短session的过期时间，降低密码泄露风险
• 一定要用SSL/TLS连接LDAP，防止传输过程中密码被截获

方案3：不可行的误区——反向解密密码 #

别尝试用密码哈希器反向解密用户密码！Symfony和LDAP用的都是单向哈希算法（比如SSHA、bcrypt），根本没法从哈希值还原明文密码，这条路走不通。

内容的提问来源于stack exchange，提问作者Rufinus