tomcat - JNDIRealm/Tomcat group/role search as authenticated user

Question

如何让tomcat/jndi使用认证用户绑定(bind)到ldap进行组搜索？

问题:

• 用于 servlet 的简单的基于 FORM 的 Tomcat/jndiRealm/ldap 身份验证
• 已进行设置，以便用户正确进行身份验证(绑定(bind)模式)
• 但是，ldap 服务器不允许匿名绑定(bind)以查看我感兴趣的组。current-authenticating-user 可以查看这些组
• 我不想使用连接名称和连接密码

我希望角色搜索由当前正在进行身份验证的用户完成，但即使在绑定(bind)模式下，wireshark 也会显示在初始用户身份验证后完成了匿名绑定(bind)。

可行但不是我想要的解决方法:

• 使用可以查看组的用户的连接名称和连接密码
• 为领域设置一个 commonRole

(我无法控制 ldap 服务器)

来 self 的(非工作)server.xml

<Realm className="org.apache.catalina.realm.JNDIRealm"
   connectionURL="ldap://localhost:389"
   userPattern="cn={0},ou=people,o=myO,dc=myDc,dc=com"
   roleBase="ou=groups,o=myO,dc=myDc,dc=com"
   roleName="cn"
   roleSearch="member={0}" />

Answer 1

如果您对 LDAP 服务器没有任何控制权，而 Tomcat 的 JNDIRealm 确实如此，您似乎别无选择，只能使用连接名称/密码。检查 JNDIRealm 源代码很容易:它不是一个大文件。