Spring Boot集成LDAP认证实现自定义登录接口及部分接口权限控制需求

嘿，我帮你梳理下怎么解决这两个核心问题——自定义登录接口返回简单状态、只保护特定接口，咱们一步步调整代码就行：

一、调整Spring Security配置，实现部分接口放行 #

你之前的配置会强制所有接口都需要认证，而且默认开启了表单登录，这和咱们的需求不符。修改SecurityConfig，让登录接口允许匿名访问，同时关闭默认表单登录：

package de.thbingen.veg.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.ldap.LdapBindAuthenticationManagerFactory;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.config.annotation.web.configurers.AbstractHttpConfigurer;
import org.springframework.ldap.core.support.BaseLdapPathContextSource;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                // 前后端分离场景下关闭CSRF（后续有特殊安全需求可再调整）
                .csrf(AbstractHttpConfigurer::disable)
                .authorizeHttpRequests(auth -> auth
                        // 放行登录接口，允许前端匿名调用
                        .requestMatchers("/authenticate").permitAll()
                        // 这里可以添加其他不需要保护的公开接口，比如：.requestMatchers("/public/**").permitAll()
                        // 剩下的所有接口都需要认证才能访问
                        .anyRequest().authenticated()
                )
                // 关闭默认的表单登录逻辑，完全用我们自己的接口处理登录
                .formLogin(AbstractHttpConfigurer::disable);

        return http.build();
    }

    @Bean
    AuthenticationManager authManager(BaseLdapPathContextSource source) {
        LdapBindAuthenticationManagerFactory factory = new LdapBindAuthenticationManagerFactory(source);
        factory.setUserDnPatterns("uid={0},ou=people");
        return factory.createAuthenticationManager();
    }
}

二、修复自定义登录接口的认证逻辑 #

你之前用LdapTemplate手动拼接DN的方式容易出错，其实可以直接利用我们配置好的AuthenticationManager来处理LDAP认证，逻辑更统一可靠：

package de.thbingen.veg.controller;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class LoginController {

    private final AuthenticationManager authenticationManager;

    @Autowired
    public LoginController(AuthenticationManager authenticationManager) {
        this.authenticationManager = authenticationManager;
    }

    @PostMapping("/authenticate")
    public String authenticate(@RequestBody LoginRequest request) {
        try {
            // 用Spring Security的token封装用户名密码，交给认证管理器处理LDAP绑定
            Authentication authentication = authenticationManager.authenticate(
                    new UsernamePasswordAuthenticationToken(request.getUsername(), request.getPassword())
            );
            // 认证成功返回"accepted"
            return authentication.isAuthenticated() ? "accepted" : "rejected";
        } catch (AuthenticationException e) {
            // 用户名密码错误、LDAP连接失败等认证异常，统一返回"rejected"
            return "rejected";
        } catch (Exception e) {
            // 其他未知异常返回错误信息
            return "error: " + e.getMessage();
        }
    }
}

class LoginRequest {
    private String username;
    private String password;

    // Getters and setters
    public String getUsername() {
        return username;
    }

    public void setUsername(String username) {
        this.username = username;
    }

    public String getPassword() {
        return password;
    }

    public void setPassword(String password) {
        this.password = password;
    }
}

三、确认LDAP配置正确性 #

确保你的application.properties里的LDAP配置和学校提供的一致，比如：

spring.ldap.urls=ldap://your-university-ldap-server:389
spring.ldap.base=dc=thbingen,dc=de  # 替换成学校LDAP实际的根DN

这样调整后，前端就可以直接向/authenticate发送POST请求（携带username和password参数），后端会通过学校LDAP验证并返回你需要的"accepted"或"rejected"；其他接口则需要认证后才能访问，完全符合你的需求。

备注：内容来源于stack exchange，提问作者EYAD ALMASRI