Grails 2.4.4集成Spring-Security-LDAP与Redis缓存技术咨询

嘿，刚好有过Grails 2.x结合Spring Security LDAP加Redis缓存的实践，给你梳理几个核心方向，帮你把POC的起步走得更稳：

首先得明确哪些数据能缓存、哪些绝对不能碰：

• 可以缓存的：用户的基础身份信息（比如用户名对应的LDAP DN）、授权权限/角色列表（这些数据一般不会频繁变动）
• 绝对不能缓存的：用户的密码或密码哈希！LDAP的密码校验是服务器端的，而且密码策略可能随时调整，缓存密码会导致验证失效，还会有安全风险

Grails 2.x有官方维护的Redis插件，适配2.4.4的话，用redis:1.1.1版本就很稳。

1. 先在BuildConfig.groovy里加插件依赖：

plugins {
    // 其他已有插件...
    compile ":redis:1.1.1"
}

2. 然后在Config.groovy里配置Redis连接信息：

redis {
    host = "你的Redis服务器IP/域名"
    port = 6379
    // 如果Redis设了密码就加上这句
    // password = "your-redis-password"
    database = 0 // 可选，默认用第0个数据库就行
}

Spring Security LDAP的核心是LdapAuthenticationProvider，咱们要做的就是给它套个“缓存壳”——认证前先查Redis，命中就直接返回结果；没命中再走LDAP认证，成功后把结果存进缓存。

具体步骤：

1. 写一个自定义的AuthenticationProvider，把原有的LdapAuthenticationProvider和RedisService注入进来
2. 重写authenticate方法，实现缓存优先的逻辑
3. 在resources.groovy里把原来的LDAP认证 provider替换成咱们自定义的

给你个简化版的代码参考：

class CachedLdapAuthenticationProvider implements AuthenticationProvider {

    @Autowired
    LdapAuthenticationProvider ldapAuthenticationProvider

    @Autowired
    RedisService redisService

    // 缓存过期时间，比如设1小时（3600秒），可以根据你们的业务调整
    static final CACHE_TTL = 3600

    @Override
    Authentication authenticate(Authentication authentication) throws AuthenticationException {
        String username = authentication.name
        String cacheKey = "ldap:auth:${username}" // 加前缀避免key冲突

        // 第一步：先查缓存
        def cachedAuthData = redisService.get(cacheKey)
        if (cachedAuthData) {
            // 从缓存里恢复权限信息，构造认证对象返回
            List<GrantedAuthority> authorities = cachedAuthData.authorities.collect { 
                new SimpleGrantedAuthority(it) 
            }
            return new UsernamePasswordAuthenticationToken(
                username, 
                authentication.credentials, 
                authorities
            )
        }

        // 缓存没命中，走原生LDAP认证
        Authentication authResult = ldapAuthenticationProvider.authenticate(authentication)

        // 认证成功的话，把关键信息存进缓存
        if (authResult.isAuthenticated()) {
            def cacheValue = [
                username: authResult.name,
                authorities: authResult.authorities.collect { it.authority }
            ]
            redisService.set(cacheKey, cacheValue, CACHE_TTL)
        }

        return authResult
    }

    @Override
    boolean supports(Class<?> authentication) {
        // 和原生LDAP provider支持的认证类型保持一致
        return ldapAuthenticationProvider.supports(authentication)
    }
}

然后在grails-app/conf/spring/resources.groovy里替换provider：

// 替换原有的LDAP认证provider
ldapAuthenticationProvider(CachedLdapAuthenticationProvider) {
    ldapAuthenticationProvider = ref('org.springframework.security.ldap.authentication.LdapAuthenticationProvider')
}

除了认证，用户的授权权限也可以单独缓存——比如在获取用户角色的时候，先查Redis再查LDAP。你可以自定义LdapAuthoritiesPopulator，逻辑和上面的认证缓存类似：重写getGrantedAuthorities方法，先查缓存，没命中再调用原生方法，然后把结果存缓存。

别上来就全量改，先把核心场景验证清楚：

• 缓存有效性：认证成功后，第二次请求能不能直接走缓存？可以看LDAP服务器的访问日志，或者用抓包工具确认有没有LDAP请求
• 缓存过期与更新：如果LDAP里用户的权限变了，缓存过期前是不是用旧权限？过期后能不能拿到新权限？如果需要实时更新，可以在LDAP变更时主动删除对应的缓存key
• 降级逻辑：如果Redis挂了，应用能不能自动降级到直接访问LDAP，不影响用户登录？
• 性能对比：模拟多用户并发，对比开缓存前后LDAP的请求量和应用响应时间，看看有没有达到预期的优化效果

• 序列化问题：Grails Redis插件默认用Java序列化，可能有兼容性问题，建议改成JSON序列化，在Config.groovy里加一句redis.serializer = 'json'
• 缓存key命名：一定要加前缀（比如ldap:auth:），避免和其他业务的缓存key冲突
• 过期时间要合理：如果用户权限很少变，设24小时都没问题；如果经常调整，就设短一点（比如15分钟）
• 绝对别缓存密码：再强调一遍，密码校验必须走LDAP服务器，缓存密码是找死行为😂

内容的提问来源于stack exchange，提问作者alchn