ldap - LDAP 是否在绑定(bind)后提供 token ，因此我不必每次都发送凭据？

Question

我有一个网络应用程序(PHP，但并不重要)。它使用 LDAP 进行身份验证(已经运行)，并且允许用户搜索 LDAP(已经运行)。

但是在搜索时，我使用通用进程帐户来绑定(bind)()，然后运行搜索()。

我想要使用登录的 LDAP 帐户与绑定(bind)搜索的帐户相同。但我认为做到这一点的唯一方法是将用户的凭据存储在 session 中(不好!)。

简而言之:我可以获得“状态/ session /??”来自 LDAP 的 token ，绑定(bind)()，然后在后续的 http 请求中搜索()？

(顺便说一句，使用 Active Directory。)

Answer 1

Basic LDAP 不提供类似的功能。您在绑定(bind)时提供的凭据将用于连接的其余部分，因此，如果您可以在多个 HTTP 请求中保持 LDAP 连接打开(并在您运行的多个服务器作业之间共享 LDAP 连接)，那么您可以避免保存凭据.

有各种 LDAP 扩展(包括 Active Directory 中的几个)，因此其中之一可能会添加跨连接 session ，但如果是这样，我不知道。

作为一种解决方法，由于 Active Directory 支持 GSSAPI 并且由于 Kerberos 的工作方式，您应该能够使用用户的凭据来请求用于访问 LDAP 的 Kerberos 票证，然后将该票证存储为您的“状态/ session /？？” token 。此 Kerberos 票证仅对访问 LDAP 有效，并且会自动过期，因此这可以避免在 session 中存储用户凭据的陷阱。我不知道您的 LDAP 库是否支持 GSSAPI，并且是否会给您足够的控制权来执行此操作。