LDAP验证的用户名和密码

Question

一位客户询问我们是否支持单点登录（SSO）的LDAP身份验证。 我在Google周围搜索并了解了一些有关LDAP的知识。

但是，我不明白是否应该对将作为应用程序提供给我的某些凭据运行bind操作，然后寻找尝试登录的用户，还是应该对用户尝试的凭据调用bind通过我们的应用程序登录，并且只要凭据有效，我就认为该用户已登录。

谢谢。

Answer 1

分三个步骤完成：

1. 绑定为具有足够权限搜索目录的管理用户。
2. 在目录中搜索用户。 这是必要的，因为用户将不会提供他的整个DN：他将提供有关他自己的其他信息，例如他的电子邮件地址，“屏幕名称” /昵称/别名等。
3. 使用提供的密码凭据作为该用户绑定。

如果其中任何一个失败（包括（2）），则表示登录失败，请注意，您没有告诉用户哪个步骤：您没有告诉他“没有这样的用户”或“无效的密码”。 您只需告诉他“无效的凭据”或两者均类似。 否则，您会将信息泄漏给攻击者。