关于Spring LDAP结合PoolingContextSource的用户认证问题咨询

一、使用PoolingContextSource完成用户认证的方式 #

不管是借助Spring Security的封装能力，还是自己手动实现，都能基于PoolingContextSource完成用户认证，下面分别说明两种方案：

1. 基于Spring Security的预定义集成 #

Spring Security LDAP模块已经帮我们封装了LDAP认证的核心逻辑，只需要把PoolingContextSource配置为它的上下文源即可，连接池的复用、上下文管理都会自动处理。给你贴个Java Config的示例：

@Bean
public PoolingContextSource poolingContextSource() {
    DefaultDirContextAuthenticationStrategy authStrategy = new DefaultDirContextAuthenticationStrategy();
    authStrategy.setAuthenticationControls(new Control[]{new SimpleBindControl()});

    PoolingContextSource contextSource = new PoolingContextSource();
    contextSource.setDirContextAuthenticationStrategy(authStrategy);
    contextSource.setContextSource(defaultSpringSecurityContextSource());
    // 连接池参数配置，根据你的业务调整
    contextSource.setMaxTotal(10);
    contextSource.setMaxIdle(5);
    return contextSource;
}

@Bean
public DefaultSpringSecurityContextSource defaultSpringSecurityContextSource() {
    return new DefaultSpringSecurityContextSource("ldap://your-ldap-server:389/dc=example,dc=com");
}

// 配置认证管理器
@Bean
public AuthenticationManager authenticationManager() {
    return new ProviderManager(List.of(ldapAuthenticationProvider()));
}

@Bean
public LdapAuthenticationProvider ldapAuthenticationProvider() {
    BindAuthenticator authenticator = new BindAuthenticator(poolingContextSource());
    // 配置用户DN的匹配模板，比如用户存放在ou=users下，uid作为用户名属性
    authenticator.setUserDnPatterns(new String[]{"uid={0},ou=users"});

    DefaultLdapAuthoritiesPopulator authoritiesPopulator = new DefaultLdapAuthoritiesPopulator(poolingContextSource(), "ou=roles");
    authoritiesPopulator.setGroupRoleAttribute("cn");

    return new LdapAuthenticationProvider(authenticator, authoritiesPopulator);
}

配置完成后，直接用Spring Security的认证流程就能完成用户验证，不用手动操心连接池的细节。

2. 自定义认证实现 #

如果不想依赖Spring Security，也可以手动用PoolingContextSource实现认证逻辑，核心是从连接池获取上下文后，执行LDAP绑定操作：

public boolean authenticate(String username, String password) {
    DirContext ctx = null;
    try {
        // 从连接池获取只读上下文
        ctx = poolingContextSource.getReadOnlyContext();
        // 这里可以先搜索用户的DN（比如根据用户名、邮箱等属性），也可以直接用固定模板构造
        String userDn = "uid=" + username + ",ou=users,dc=example,dc=com";
        // 设置绑定的用户凭证
        ctx.addToEnvironment(Context.SECURITY_PRINCIPAL, userDn);
        ctx.addToEnvironment(Context.SECURITY_CREDENTIALS, password);
        // 执行一个简单的搜索操作验证绑定是否成功
        ctx.search("", "(objectClass=*)", SearchControls.SUBTREE_SCOPE);
        return true;
    } catch (NamingException e) {
        // 绑定失败，说明用户名或密码错误
        return false;
    } finally {
        if (ctx != null) {
            try {
                // 务必释放上下文回连接池，否则会导致连接泄漏
                poolingContextSource.releaseContext(ctx);
            } catch (NamingException e) {
                // 处理释放异常，比如打日志
            }
        }
    }
}

这里要特别注意：一定要在finally块里释放上下文，不然连接池会被很快耗尽。

二、获取原始SSHA格式密码并提取盐值 #

当你通过Spring LDAP搜索获取用户的userPassword属性时，返回的是Attribute对象，我们可以直接提取它的原始值，再拆分盐值做验证：

1. 获取原始SSHA字符串 #

public String getRawSshaPassword(String username) throws NamingException {
    DirContext ctx = poolingContextSource.getReadOnlyContext();
    try {
        SearchControls controls = new SearchControls();
        controls.setSearchScope(SearchControls.SUBTREE_SCOPE);
        controls.setReturningAttributes(new String[]{"userPassword"});
        // 根据用户名搜索用户
        NamingEnumeration<SearchResult> results = ctx.search("ou=users,dc=example,dc=com", "uid=" + username, controls);
        if (results.hasMore()) {
            SearchResult result = results.next();
            Attribute passwordAttr = result.getAttributes().get("userPassword");
            if (passwordAttr != null) {
                Object value = passwordAttr.get();
                // 处理二进制或字符串类型的属性值
                if (value instanceof byte[]) {
                    return new String((byte[]) value, StandardCharsets.UTF_8);
                } else if (value instanceof String) {
                    return (String) value;
                }
            }
        }
        return null;
    } finally {
        poolingContextSource.releaseContext(ctx);
    }
}

这个方法返回的就是LDAP中存储的原始密码格式，比如{SSHA}abcdefghijklmnopqrstuvwxyz123456这样的字符串。

2. 提取盐值并验证密码 #

SSHA的规则是：{SSHA}[Base64编码的(SHA1(明文密码 + 盐值) + 盐值)]。解码后前20字节是SHA-1哈希值，剩下的部分就是盐值。下面是验证逻辑的示例：

public boolean verifyPassword(String rawPassword, String sshaPassword) throws NoSuchAlgorithmException {
    if (!sshaPassword.startsWith("{SSHA}")) {
        throw new IllegalArgumentException("输入的密码不是SSHA格式");
    }
    // 去掉SSHA前缀，解码Base64内容
    String base64Part = sshaPassword.substring(6);
    byte[] decoded = Base64.getDecoder().decode(base64Part);
    // 拆分哈希值（前20字节）和盐值（剩余部分）
    byte[] storedHash = Arrays.copyOfRange(decoded, 0, 20);
    byte[] salt = Arrays.copyOfRange(decoded, 20, decoded.length);

    // 对输入的明文密码加盐计算哈希
    MessageDigest md = MessageDigest.getInstance("SHA-1");
    md.update(rawPassword.getBytes(StandardCharsets.UTF_8));
    md.update(salt);
    byte[] computedHash = md.digest();

    // 比较存储的哈希和计算的哈希是否一致
    return Arrays.equals(storedHash, computedHash);
}

这样就能手动完成密码的验证流程了。

内容的提问来源于stack exchange，提问作者JitiPrava Sahoo