如何将 AD 组映射到用户角色 Spring 安全 LDAP

Question

我有一个使用Java Spring MVC构建的Web应用程序。

我只是在设置连接到LDAP服务器的弹簧安全性进行身份验证。

我已经成功设置了它，以便我能够登录到我的应用程序，但我找不到任何可以帮助我将 AD 组映射到 Java 中的用户角色的东西，因为我只能获得一个 403 禁止页面，即我已经过身份验证但还没有权限。

我目前有：

<http auto-config="true">
    <intercept-url pattern="/**" access="ROLE_USER" />      
</http>
<ldap-server id="ldapServer" url="LDAPURL" manager-dn="USER" manager-password="PASSWORD"  />
<authentication-manager > 
    <ldap-authentication-provider           
        group-search-base="OU=GROUPS"
        group-search-filter="sAMAccountName={0}"
        user-search-base="OU=USERS"
        user-search-filter="sAMAccountName={0}" 
        />
</authentication-manager>

假设该用户是 AD 组 g-group-UK-user 的一部分，我希望能够将该 AD 组映射到ROLE_USER以便用户随后可以看到整个 Web 应用程序。

我似乎只能找到非常简单的例子，其中组是管理员或用户，在这种情况下，前缀角色只是添加到组中，或者其他方法似乎正在使用UserDetailContextMapper，但我找不到明确的用法。

Answer 1

为此，我在身份验证管理器中使用了以下内容：

user-context-mapper-ref="customUserContextMapper"

然后，我使用以下类来检查该用户是否属于某个 AD 组，然后将ROLE_USER角色分配给其权限：

@Override
public UserDetails mapUserFromContext(DirContextOperations ctx, String username, Collection<? extends GrantedAuthority> authorities) 
{
    Attributes attributes = ctx.getAttributes();
    Object[] groups = new Object[100];
    groups = ctx.getObjectAttributes("memberOf");
    LOGGER.debug("Attributes: {}", attributes);
    Set<GrantedAuthority> authority = new HashSet<GrantedAuthority>();
    for(Object group: groups)
    {
        if (group.toString().toLowerCase().contains("AD_GROUP_NAME".toLowerCase()) == true)
        {
            authority.add(new SimpleGrantedAuthority("ROLE_USER"));
            break;          
        }
    }
    User userDetails = new User(username, "", false, false, false, false, authority);
    return userDetails;
}

请注意，由于我连接的LDAP服务器的结构与平时不同，因此该类比平时复杂一些，因为用户有权访问的组存储在用户下的属性中，而不是相反，在该组中，组将属于它的所有用户作为属性。