應用場景

• 應用系統中的賬號資訊除了本地建立的之外，還要有LDAP中的，並且隨時與LDAP中的最新資料一致；
• 公司所有人的電腦都在一個域中管理，員工通過域賬號和密碼登入他的計算機之後，在登入應用系統之後不再需要輸入密碼，直接進入系統；
• 如果員工擁有多個不同的域賬號和密碼，那麼他也可以在選擇任意一個域賬號來登入應用系統（而不僅僅是登入計算機那個域賬號和密碼）；

目標功能

• 1，LDAP賬號同步
  把LDAP中的使用者資料同步到本地資料中
• 2，LDAP使用者登入驗證
  根據使用者提供的使用者名稱和密碼驗證使用者是否為合法的域使用者
• 3，Windows域整合驗證
  比如一個資訊管理系統，當用戶使用域中（域控，ActiveDirectory）的計算機登入資訊管理系統的時候，由於該使用者在登入計算機的時候已經通過了身份驗證，所以不需要再次輸入使用者名稱和密碼而直接進入資訊管理系統。

測試環境準備

伺服器IP:192.168.116.128

伺服器域資訊：

Active Directory 狀態：

功能：LDAP賬號同步

首先，需要獲取到LdapContext：

	private LdapContext getLdapContext()throws NamingException{
		Hashtable<String,String> hashtable = new Hashtable<String,String>();
		hashtable.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
		hashtable.put(Context.PROVIDER_URL, "ldap://192.168.116.128:389");//伺服器地址
		hashtable.put(Context.SECURITY_AUTHENTICATION, "simple");
		hashtable.put(Context.SECURITY_PRINCIPAL, "
 
[email protected]");//使用者名稱
		hashtable.put(Context.SECURITY_CREDENTIALS, "321%cba");//密碼
		return new InitialLdapContext(hashtable,null);
	}

然後進行相關的搜尋設定：

		LdapContext  ctx = getLdapContext();
                //設定分頁大小
		ctx.setRequestControls(new Control[] { new PagedResultsControl(15, Control.NONCRITICAL) });
		
		SearchControls control = new SearchControls();
		
		//搜尋方式
		control.setSearchScope(SearchControls.SUBTREE_SCOPE);//Search the entire subtree rooted at the named object. 
		//control.setSearchScope(SearchControls.ONELEVEL_SCOPE);//Search one level of the named context
		//control.setSearchScope(SearchControls.OBJECT_SCOPE);//Search the named object
		
		//搜尋欄位
		String returnedAtts[] = { "displayName", "mail", "telephoneNumber","thumbnailPhoto" };//姓名，郵箱，電話，頭像
		control.setReturningAttributes(returnedAtts);
		
		//設定ou和filter
		String ou = "ou=users,ou=beijing,dc=abc,dc=com";
		String filter = "(&(objectClass=user)(objectCategory=person)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))";
 

最後，發起搜尋請求，解析搜尋結果：

NamingEnumeration<SearchResult> results = ctx.search(ou, filter, control);
		while (results != null && results.hasMoreElements()) {
			SearchResult entry = (SearchResult) results.next();
			String empName = getValueFromAttribute(entry.getAttributes().get(returnedAtts[0]));
			String mail = getValueFromAttribute(entry.getAttributes().get(returnedAtts[1]));
			String telephone = getValueFromAttribute(entry.getAttributes().get(returnedAtts[2]));
			byte[] photoBytes = null;
			Attribute att = (Attribute) entry.getAttributes().get("thumbnailPhoto");
			if(att!=null){
				photoBytes = (byte[])(att.get(0));
			}
			System.out.println(empName+"|"+mail+"|"+telephone+"|"+(photoBytes==null ? 0 : photoBytes.length));
		}

功能：LDAP使用者登入驗證

我的實現方式如下，有更好方法的朋友還請指教：

private boolean validate(String username,String pwd)throws NamingException{
		Hashtable<String,String> hashtable = new Hashtable<String,String>();
		hashtable.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");
		hashtable.put(Context.PROVIDER_URL, "ldap://192.168.116.128:389");//伺服器地址
		hashtable.put(Context.SECURITY_AUTHENTICATION, "simple");
		hashtable.put(Context.SECURITY_PRINCIPAL, username);//使用者名稱
		hashtable.put(Context.SECURITY_CREDENTIALS, pwd);//密碼
		return new InitialLdapContext(hashtable,null)!=null;
	}

功能：Windows整合驗證登入

下載工具後解壓，然後：

複製jar包frdoumesspitc7.jar到tomcat的/lib目錄下 

複製SSPAuthentification.dll和SSPAuthentificationx64.dll到tomcat的/bin目錄下

在應用的web.xml中增加如下配置：

<security-constraint>
      <display-name>Example Security Constraint</display-name>
      <web-resource-collection>
         <web-resource-name>Protected Area</web-resource-name>
	 	 <!-- Define the context-relative URL(s) to be protected -->
         <url-pattern>/auth.do</url-pattern>
	 	 <!-- If you list http methods, only those methods are protected -->
	 	 <http-method>DELETE</http-method>
         <http-method>GET</http-method>
         <http-method>POST</http-method>
	 	 <http-method>PUT</http-method>
      </web-resource-collection>
      <auth-constraint>
         <!-- Anyone with one of the listed roles may access this area 
	 	 <role-name>utilisateurs</role-name>
	 	 <role-name>users</role-name>
	 	 <role-name>everyone</role-name>-->
	 	 <role-name>everyone</role-name>
      </auth-constraint>
    </security-constraint>

    <!-- Default login configuration -->
    <login-config>
      <auth-method>BASIC</auth-method>
      <realm-name>Example Spnego</realm-name>
    </login-config>

就這樣，tomcatspnego就能使用了。這裡使用到了Tomcat的目錄保護功能，而tomcatspnego應該是對tomcat的驗證功能做了修改，增加了域資訊的檢查。這裡連沒有配置域伺服器ip地址都沒有配置，tomcatspnego具體如何實現域資訊監測就不太清楚了。

接下來，在我們自己的應用身份驗證中需要用到tomcatspnego留給我們的標記：

    @RequestMapping(value = "/auth")
    public String ntlmAuth(HttpServletRequest request,HttpServletResponse response,HttpSession session){
    	Principal princ = request.getUserPrincipal();
    	if (isLogined()) {
                return "redirect:index.do";
        }
    	if(princ!=null){
    		session.setAttribute("princpalNameInSession", princ.getName());
    	}
    	return "redirect:index.do";
    }

    @RequestMapping("/login")
    public ModelAndView login(String loginName,String password,HttpServletResponse response,HttpSession session,HttpServletRequest request) {
    	if(!response.isCommitted()){
    		ModelAndView mav = new ModelAndView();
			mav.setViewName("login");
    		User user = null;
    		Config config = Config.getInstance(true);
    		if(notEmpty(loginName) && notEmpty(password)){//如果使用者名稱和密碼都存在,普通登入，或域賬號登入
    			user = userService.getEntityByProperty(User.class, "userName", loginName);
    			if(user==null || user.getStatus()!=UserStatus.Active ){
    				mav.addObject("noUserError", "使用者名稱不存在!");
    			}else{
    				if(user.getType()==UserType.Domain && config.isUseLdapValidate()){//域使用者
    					if(domainLoginValidate(loginName,password,request,config)){
    						mav.setViewName("redirect:index.do");//域登入成功
    					}
    				}else{
    					if(localLoginValidate(user,password)){
    						mav.setViewName("redirect:index.do");//本地登入成功
    					}else{
    						mav.addObject("passwordError", "密碼輸入錯誤!");
    					}
    				}
    			}
    		}else if(domainLoginValidateByNtlm(request)){//存在域Ntlm變數，嘗試域登入
    			//則根據域變數獲取到使用者名稱
    			String princpalName = getPrincpalUserName(request);
    			user = userService.getEntityByProperty(User.class, "userName", princpalName);
    			
    			if(user!=null){
    				log.info("使用者:"+loginName+"，通過獲取到本機域資訊直接登入成功!");
    			}else{
    				mav.addObject("error","已經檢測到您為域使用者，但是在系統中沒有查詢到您的使用者資訊");
    			}
    		}else{
    			//使用者名稱和密碼以及域變數都不存在，重定向到登入頁面
    			mav.setViewName("redirect:loginUI.do");
    		}
    		//然後獲取到user資訊，並載入許可權資訊，設定“已登入”標誌
    		if(user!=null){
    			prepareFunctionPoint(session,user);
    		}
    		return mav;
    	}
    	return null;
    }

    @RequestMapping("/index")
    public String index(HttpServletRequest request,HttpServletResponse response,HttpSession session){
    	if(!response.isCommitted()){
			if (isLogined()) {
				return "main";
			} 
			Config config = Config.getInstance(true);
			if(!config.isUseLdapValidate()){
				return "redirect:loginUI.do";
			}
			// 則嘗試根據域變數獲取到使用者資訊;
			User user = getUserFromDbByDomainUserName(request);
			if (user != null) {
				prepareFunctionPoint(session, user);
				return "main";
			}
			return "redirect:loginUI.do";
    	}
    	return null;
	}

說明：

這裡把應用的首頁設定為/auth.do，以便於當用戶直接訪問/的時候直接跳轉到/auth.do；

在進入ntlmAuth方法之前，系統已經利用tomcatspnego來嘗試域驗證；

在auth方法中嘗試獲取tomcatspnego給我們留下來的變數，並儲存起來；

從定向到index.do，index中嘗試通過域變數來獲取使用者資訊（獲取成功表示域登陸成功）；

login方法正常接收使用者名稱和密碼，可以進行本地賬號驗證和域賬號驗證。

# 2018-08-15更新

發現還有朋友在關注這個問題，我順便更新一下。

我寫的的這個適用於Tomcat7，發現Tomcat8用不了。那Tomcat8怎麼做呢？其實官方文件裡有說明：

點到這裡面，找到第三方工具，我用過這個工具還不錯，你還可以順便研究研究其他的。

不好意思我買了個關子，其實直接給出下面這個地址就好了。我多記錄了一下我怎麼找到這個資源的。