Spring Security LDAP认证抛出NO_ATTRIBUTE_OR_VAL错误求助

我刚帮好几个开发者解决过一模一样的问题，这个报错的核心原因其实很直白：你用了标准LDAP的默认配置去对接Active Directory（AD），但AD的密码存储逻辑和标准LDAP完全不一样。

具体来说，错误里提到的userPassword属性在AD中根本不存在——AD用的是unicodePwd来存储密码，而且对验证方式、密码格式还有特殊要求。下面是一步步的修复方案：

1. 替换密码属性配置 #

在你的Spring Security配置里，把默认的密码属性从userPassword改成AD专用的unicodePwd。如果用Java代码配置，示例如下：

@Bean
public AuthenticationManager authenticationManager(BaseLdapPathContextSource contextSource) {
    var configurer = AuthenticationManagerBuilder.ldapAuthentication();
    configurer
            .userSearchBase("dc=your-domain,dc=com") // 替换成你的AD域结构
            .userSearchFilter("sAMAccountName={0}") // AD的用户名属性一般是sAMAccountName，不是uid
            .contextSource(contextSource)
            .passwordCompare()
                .passwordAttribute("unicodePwd"); // 替换为AD的密码属性
    return configurer.and().build();
}

2. 优先使用AD推荐的绑定认证 #

AD其实更推荐用用户DN绑定的方式做认证，而不是密码比对——也就是直接用用户的完整DN和密码绑定到LDAP服务器，避免读取敏感密码属性的权限问题。配置示例：

@Bean
public AuthenticationManager authenticationManager(BaseLdapPathContextSource contextSource) {
    var configurer = AuthenticationManagerBuilder.ldapAuthentication();
    configurer
            .userSearchBase("dc=your-domain,dc=com")
            .userSearchFilter("sAMAccountName={0}") // 根据用户名自动搜索用户DN
            .contextSource(contextSource)
            .bindAuthenticator(new BindAuthenticator(contextSource)); // 启用绑定认证模式
    return configurer.and().build();
}

3. 检查AD权限配置 #

确保你用来连接LDAP的服务账号有这些权限：

• 能够搜索AD中的用户对象
• 如果坚持用密码比对模式，需要有读取unicodePwd的权限（不过AD默认禁止读取该属性，所以绑定认证是更稳妥的选择）

4. 验证用户名格式 #

AD的用户名一般用sAMAccountName的值（也就是平时登录域的账号名，比如john.doe或者DOMAIN\john.doe），不要用邮箱或其他属性值来测试。

重启应用后用正确的域账号和密码登录，应该就能正常完成认证了。

内容的提问来源于stack exchange，提问作者olahell