你能帮我解决以下情况吗？

背景信息:

• 我正在使用 Vaadin framework .
• 我正在使用 Java security framework Shiro
• 我正在使用 SSL。
• 身份验证有效。
• 用户名语法 = pietj@.lcl , jank@.lcl
• memberOf 字段被用作角色。
• shiro.ini

[main]

contextFactory = org.apache.shiro.realm.ldap.JndiLdapContextFactory 
contextFactory.url = ldaps://<SERVER>:636 
contextFactory.systemUsername = <USERNAME>@<COMPANY>
contextFactory.systemPassword = <PASSWORD>
contextFactory.environment[java.naming.security.protocol] = ssl 

realm = org.apache.shiro.realm.activedirectory.ActiveDirectoryRealm 
realm.ldapContextFactory = $contextFactory 
realm.searchBase = "OU=<APPDIR>,DC=<COMPANY>,DC=lcl" 
realm.groupRolesMap = "CN=<ROLE>,OU=<APPDIR>,DC=<COMPANY>,DC=lcl":"Admin"

[roles]

 # 'Admin' role has permissions * 
 Admin = * 

目标

• 基于 currentUser 的 memberOf 字段的授权映射。

问题

• currentUser.hasRole("Admin") 始终返回 false。

问题

• 上面的shiro.ini 是否正确？
• 我该如何解决这个问题？

最佳答案

我在使用 Shiro 1.2.4 时遇到了类似的问题。您的 Shiro 配置可能没问题，问题出在 ActiveDirectory 配置上。

在我的设置中，一些用户设置了 userPrincipalName 属性，而其他用户则没有。您可以使用 Sysinternals Active Directory Explorer 检查您的 AD 服务器例如。
此属性是 Shiro 用于搜索特定用户的属性，然后它会查找 memberOf 属性中定义的组。
看看ActiveDirectoryRealm.java源代码、方法 Set<String> getRoleNamesForUser(String username, LdapContext ldapContext)使用的确切查询是
String searchFilter = "(&(objectClass=*)(userPrincipalName={0}))";

所以你有两个解决方案:

• 为每个用户设置userPrincipalName属性
• 改变 Shiro 搜索用户的方式

我选择了第二种解决方案。更改搜索查询比它应该的更难:您必须自定义 queryForAuthorizationInfo和 getRoleNamesForUser (因为它是私有(private)的)ActiveDirectoryRealm 的方法类(class)。我是这样做的:

public class CustomActiveDirectoryRealm extends ActiveDirectoryRealm {

    @Override
    protected AuthorizationInfo queryForAuthorizationInfo(PrincipalCollection principals, LdapContextFactory ldapContextFactory) throws NamingException {
        String username = (String) getAvailablePrincipal(principals);

        // Perform context search
        LdapContext ldapContext = ldapContextFactory.getSystemLdapContext();

        Set<String> roleNames = null;

        try {
            roleNames = getRoleNamesForUser(username, ldapContext);

        } finally {
            LdapUtils.closeContext(ldapContext);
        }

        return buildAuthorizationInfo(roleNames);
    }

    // Customize your search query here
    private static final String USER_SEARCH_FILTER = "(&(objectClass=*)(sn={0}))";
    private Set<String> getRoleNamesForUser(String username, LdapContext ldapContext) throws NamingException {
        Set<String> roleNames;
        roleNames = new LinkedHashSet<String>();

        SearchControls searchCtls = new SearchControls();
        searchCtls.setSearchScope(SearchControls.SUBTREE_SCOPE);

        String userPrincipalName = username.replace("acegas\\", "");
        if (principalSuffix != null) {
            userPrincipalName += principalSuffix;
        }

        Object[] searchArguments = new Object[]{userPrincipalName};

        NamingEnumeration answer = ldapContext.search(searchBase, USER_SEARCH_FILTER, searchArguments, searchCtls);

        while (answer.hasMoreElements()) {
            SearchResult sr = (SearchResult) answer.next();

            Attributes attrs = sr.getAttributes();

            if (attrs != null) {
                NamingEnumeration ae = attrs.getAll();
                while (ae.hasMore()) {
                    Attribute attr = (Attribute) ae.next();

                    if (attr.getID().equals("memberOf")) {

                        Collection<String> groupNames = LdapUtils.getAllAttributeValues(attr);

                        Collection<String> rolesForGroups = getRoleNamesForGroups(groupNames);
                        roleNames.addAll(rolesForGroups);
                    }
                }
            }
        }
        return roleNames;
    }
}

然后当然是在shiro.ini中使用这个类作为Realm

[main]
realm = your.package.CustomActiveDirectoryRealm
realm.ldapContextFactory = $contextFactory 
realm.searchBase = "OU=<APPDIR>,DC=<COMPANY>,DC=lcl" 
realm.groupRolesMap = "CN=<ROLE>,OU=<APPDIR>,DC=<COMPANY>,DC=lcl":"Admin"

关于java - Shiro LDAP 授权配置，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/24062383/