使用passport-ldapauth在Express中实现LDAP认证遇问题求助

看起来你被这个凭证缺失的错误卡了两天，我来帮你一步步排查问题，顺便理清楚passport-ldapauth的认证逻辑。

首先，先看几个明显的问题，再逐步深入：

1. 先修正拼写错误 #

你的代码里把Strategy拼写成了Startegy，这会导致LDAP策略初始化失败，先改过来：

const ldapStrategy = require('passport-ldapauth').Strategy; // 把Startegy改成Strategy

2. 确保请求体能被正确解析 #

Express默认不会自动解析请求体，如果你没加相关中间件，req.body会是空的，passport-ldapauth自然找不到用户名和密码。在app.use(passport.initialize())之前添加这两行：

app.use(express.json()); // 解析JSON格式的请求体
app.use(express.urlencoded({ extended: true })); // 解析表单格式的请求体

这一步是很多人容易忽略的，也是导致"Missing credentials"的常见原因。

3. 修正LDAP搜索过滤器的占位符 #

你在searchFilter里用了{{myUserNameForTheAccount}}，但passport-ldapauth的默认占位符是{{username}}——不管你配置的usernameField是什么，模块都会把usernameField对应的值替换到{{username}}的位置。所以把搜索过滤器改成：

searchFilter: '(sAmAccountName={{username}})'

4. 确保前端传参和配置的字段名一致 #

你配置了usernameField: 'myAccountUsername'和passwordField: 'myPassword'，那前端发送的请求体必须包含这两个键：

• 如果是JSON请求：

  {
    "myAccountUsername": "用户输入的账号",
    "myPassword": "用户输入的密码"
  }
  

• 如果是表单提交，表单的input name也要对应这两个字段名。

关于密码验证的逻辑 #

其实你不用自己写密码验证代码，passport-ldapauth已经帮你处理了整个流程：

1. 用你配置的bindDN和bindCredentials先绑定到LDAP服务器（相当于管理员身份登录）
2. 根据searchBase和searchFilter搜索匹配的用户，拿到用户的DN
3. 用用户输入的密码尝试绑定这个用户DN，如果绑定成功，就认证通过，返回user对象；失败则返回错误

修正后的完整代码参考 #

const passport = require('passport');
const ldapStrategy = require('passport-ldapauth').Strategy;
const express = require('express');
const app = express();

// 必须先添加请求体解析中间件
app.use(express.json());
app.use(express.urlencoded({ extended: true }));

var LDAP_OPTS = {
  usernameField: 'myAccountUsername',
  passwordField: 'myPassword',
  server: {
    url: 'ldap://xx.xx.x.xx:389',
    bindDN: 'dn related data', // 确保这个DN是LDAP服务器的合法管理员DN
    bindCredentials: 'adminAccountPassword', // 管理员密码
    searchBase: 'dc=xyz,dc=com',
    searchFilter: '(sAmAccountName={{username}})' // 修正占位符
  },
};

passport.use(new ldapStrategy(LDAP_OPTS));
app.use(passport.initialize());

module.exports.login = function(req, res, next){
  passport.authenticate('ldapauth', function(err, user, info){
    console.log('inside authent '+JSON.stringify(info))
    if(err){
      return next(err);
    }
    if(!user){
      // 把info里的错误信息返回，方便调试
      res.status(401).json({ 
        success: false, 
        message: 'authentication failed',
        error: info?.message || 'Unknown error'
      });
      console.log('inside user: '+user)
    } else {
      res.status(200).json({success: true, user: user}); // 可以返回用户信息
    }
    console.log('after response..')
  })(req, res, next)
}

额外排查点 #

如果还是报错，你可以：

• 打印req.body看看是否能拿到前端传的用户名和密码
• 检查LDAP服务器的bindDN和bindCredentials是否正确，确保管理员能正常登录LDAP
• 用LDAP客户端工具（比如ldapsearch）测试一下搜索过滤器是否能找到用户

内容的提问来源于stack exchange，提问作者Supun Wimukthi