从ASP.NET应用程序查询Active Directory对象属性将返回旧结果

Question

几天以来，我一直在尝试使一些基于Active Directory的自定义身份验证起作用。 这一切都在理论上起作用，但显然我的理论是错误的。 登录到域的用户在登录ASP.NET应用程序时，将字符串令牌（例如PIN码）写入Active Directory中自己的属性字段（这并不重要，但是我使用primaryInternationISDNNumber ）。始终以编程方式生成和写入此PIN。

粗略地解释一下，Web浏览器将加载Java小程序，然后再加载用C ++编写的本机DLL，该DLL将PIN写入当前用户的Active Directory字段中。 然后，该DLL将生成的PIN返回给applet，然后将其传递给浏览器，该浏览器对返回的数据执行AJAX调用以启动身份验证。 有权访问AD的应用程序读取连接用户对象的该字段值，并检查其是否与用户提供的值匹配。 如果PIN码匹配，则表明用户已成功通过身份验证。

这是ASP.NET应用程序用于读取AD的示例代码：

        using (var de = new DirectoryEntry("LDAP://" + domainName))
        {
            using (var adSearch = new DirectorySearcher(de))
            {
                // Get user from active directory.
                adSearch.Filter = "(sAMAccountName=" + userName.Trim().ToLower(CultureInfo.CurrentCulture) + ")";
                var adSearchResult = adSearch.FindOne();
                var entry = adSearchResult.GetDirectoryEntry();
                var pinCodeProp = entry.Properties["primaryInternationISDNNumber"];
                return pinCodeProp != null ? pinCodeProp.Value : string.Empty;
            }
        }

通常，这很好。 但是通常是不能接受的。 它需要一直在工作。

问题在于ASP.NET应用程序有时会获取该字段中先前的值，而不是实际值。 好像有某种缓存。 我尝试添加de.UsePropertyCache = false但结果相同。

我已经创建了两个Win32控制台应用程序用于测试。 一个写PIN码，另一个读PIN码。 他们总是很好！

我以为，这一定是IIS应用程序池出现的问题。 因此，我创建了一个本机DLL，它可以使用Platform Invoke由ASP.NET应用程序加载。 该DLL创建一个新线程，调用CoInitialize并读取PIN码。 这是代码：

    pszFqdn = argv[1];
    pszUserName = argv[2];
    pszPassword = argv[3];

    IADs *pObject = NULL;
    HRESULT hr = S_OK;

    hr = CoInitialize(NULL);
    if (SUCCEEDED(hr))
    {
        hr = ADsOpenObject(pszFqdn, pszUserName, pszPassword, ADS_SECURE_AUTHENTICATION, IID_IADs, (LPVOID*)&pObject);

        if (SUCCEEDED(hr) && pObject)
        {
            VARIANT var;
            VariantInit(&var);

            hr = pObject->Get(CComBSTR("primaryInternationalISDNNumber"), &var);
            if ((SUCCEEDED(hr) && var.bstrVal) || hr == 0x8000500d)
            {
                if (hr != 0x8000500d)
                {
                    // convert the BSTR received to TCHAR array
                    std::wstring wsValue(var.bstrVal, SysStringLen(var.bstrVal));
                    // copy the received value to somewhere
                    // ... not relevant
                }

                VariantClear(&var);
            }

            pObject->Release();
        }
    }

    CoUninitialize();

令我感到极大和不愉快的是，经过一天的正常工作，该代码开始返回以前的值，就像之前的托管代码一样！

所以现在我想，好的，我无法逃脱IIS应用程序池，并且由于这一定是IIS应用程序池的问题，因此我将创建一个本机Windows应用程序，将使用Process.Start方法执行该应用程序。 我将通过进程退出代码返回PIN码（因为它始终是整数）。 该应用程序使用与上面的DLL类似的C ++代码。

因此，我启动了我的应用程序，等待它完成，阅读退出代码。 返回错误值！

但是好吧，我要说的是，该过程是使用当前的用户凭据启动的，该凭据又是IIS应用程序池。 因此，我以不同的凭据启动该应用程序。 猜猜是什么.....它再次返回旧值（？！？!!？！）。

我以为Java真是个地狱...任何人对这里可能发生的事情一无所知？

Answer 1

确实是复制。 由于我不想在读取该字段之前强制进行复制（无论如何这可能都是耗时的操作），因此我想到了从每个域控制器读取该字段并检查它们是否与该域控制器匹配的想法。提供的价值。

因为它可能对某人有用，所以我使用以下代码做到了这一点。

        var ctx = new DirectoryContext(
            DirectoryContextType.DirectoryServer,
            ipAddress,
            userName, // in the form DOMAIN\UserName or else it would fail for a remote directory server
            password);
        var domain = Domain.GetDomain(ctx);
        var values = new List<string>();
        foreach (DomainController dc in domain.DomainControllers)
        {
            using (var entry =
                    new DirectoryEntry(
                        "LDAP://" + dc.IPAddress,
                        userName,
                        password))
            {
                using (var search = new DirectorySearcher(entry))
                {
                    search.Filter = "(&(primaryInternationalISDNNumber=*)(sAMaccountName=" + userName + "))";
                    var result = search.FindOne();
                    var de = result.GetDirectoryEntry();
                    if (de.Properties["primaryInternationalISDNNumber"].Value != null)
                    {
                        values.Add(de.Properties["primaryInternationalISDNNumber"].Value.ToString());
                    }
                }
            }
        }