shiro的active Directory认证

Apache Shiro 提供了对 Active Directory (AD) 的直接支持，通过 ActiveDirectoryRealm 可以轻松集成企业级 AD 环境，实现集中式身份认证。以下是 Shiro 中实现 AD 认证的完整指南，包括配置、代码示例和常见问题解决方案。

1. Active Directory 认证基础

• 作用：通过 AD 服务器验证用户凭据（用户名/密码），并获取用户角色和权限。
• 优势：
  • 直接利用企业现有的 AD 基础设施，无需单独维护用户数据库。
  • 支持组权限管理（通过 AD 的组策略）。
  • 适用于 Windows 域环境下的单点登录（SSO）。

2. Shiro AD 认证实现步骤

(1) 添加依赖

确保项目中包含 Shiro 和 AD 相关依赖（Maven 示例）：

<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-core</artifactId>
    <version>1.12.0</version> <!-- 使用最新版本 -->
</dependency>
<dependency>
    <groupId>org.apache.shiro</groupId>
    <artifactId>shiro-activedirectory</artifactId>
    <version>1.12.0</version>
</dependency>

(2) 配置 shiro.ini 文件

通过 shiro.ini 配置 AD 认证的核心参数：

[main]
# 配置 ActiveDirectoryRealm
activeDirectoryRealm = org.apache.shiro.realm.activedirectory.ActiveDirectoryRealm
activeDirectoryRealm.url = ldap://ad.example.com:389  # AD 服务器地址
activeDirectoryRealm.systemUsername = CN=admin,CN=Users,DC=example,DC=com  # 系统管理员 DN
activeDirectoryRealm.systemPassword = admin123  # 系统管理员密码
activeDirectoryRealm.searchBase = CN=Users,DC=example,DC=com  # 用户搜索基路径
activeDirectoryRealm.groupRolesMap = "CN=Developers,CN=Users,DC=example,DC=com:developer,CN=Admins,CN=Users,DC=example,DC=com:admin"  # AD 组到 Shiro 角色的映射

# 可选：启用调试日志
loggerFactory.logLevel = debug

关键参数说明：

• url：AD 服务器地址（如 ldap://ad.example.com:389）。
• systemUsername 和 systemPassword：用于搜索用户的系统管理员凭据（需具有读取权限）。
• searchBase：用户搜索的基路径（通常是 CN=Users,DC=example,DC=com）。
• groupRolesMap：AD 组到 Shiro 角色的映射（格式：AD组DN:Shiro角色）。

(3) 编写 Java 代码进行认证

import org.apache.shiro.SecurityUtils;
import org.apache.shiro.authc.UsernamePasswordToken;
import org.apache.shiro.config.IniSecurityManagerFactory;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.subject.Subject;
import org.apache.shiro.util.Factory;

public class AdAuthDemo {
    public static void main(String[] args) {
        // 初始化 SecurityManager
        Factory<SecurityManager> factory = new IniSecurityManagerFactory("classpath:shiro.ini");
        SecurityManager securityManager = factory.getInstance();
        SecurityUtils.setSecurityManager(securityManager);

        // 获取当前用户
        Subject currentUser = SecurityUtils.getSubject();

        // 创建用户名/密码 Token
        UsernamePasswordToken token = new UsernamePasswordToken("user1", "password123");

        try {
            // 执行认证
            currentUser.login(token);
            System.out.println("AD 认证成功！");
            System.out.println("用户角色: " + currentUser.getPrincipals().asList()); // 输出角色
        } catch (Exception e) {
            System.out.println("AD 认证失败：" + e.getMessage());
        }
    }
}

3. 高级配置

(1) 启用 SSL/TLS

如果 AD 服务器使用安全连接：

[main]
activeDirectoryRealm = org.apache.shiro.realm.activedirectory.ActiveDirectoryRealm
activeDirectoryRealm.url = ldaps://ad.example.com:636  # 使用 ldaps
activeDirectoryRealm.systemUsername = CN=admin,CN=Users,DC=example,DC=com
activeDirectoryRealm.systemPassword = admin123

(2) 自定义搜索过滤器

如果默认搜索不满足需求，可以自定义搜索过滤器：

[main]
activeDirectoryRealm = org.apache.shiro.realm.activedirectory.ActiveDirectoryRealm
activeDirectoryRealm.url = ldap://ad.example.com:389
activeDirectoryRealm.searchBase = CN=Users,DC=example,DC=com
activeDirectoryRealm.searchFilter = (sAMAccountName={0})  # 使用 AD 的 sAMAccountName 属性

(3) 动态角色映射

如果需要动态映射 AD 组到 Shiro 角色，可以继承 ActiveDirectoryRealm 并重写方法：

import org.apache.shiro.realm.activedirectory.ActiveDirectoryRealm;
import org.apache.shiro.subject.PrincipalCollection;

import java.util.HashMap;
import java.util.Map;

public class CustomAdRealm extends ActiveDirectoryRealm {
    @Override
    protected Map<String, String> getGroupRolesMap(PrincipalCollection principals) {
        Map<String, String> rolesMap = new HashMap<>();
        // 动态映射逻辑（例如从数据库加载）
        rolesMap.put("CN=Developers,CN=Users,DC=example,DC=com", "developer");
        rolesMap.put("CN=Admins,CN=Users,DC=example,DC=com", "admin");
        return rolesMap;
    }
}

然后在 shiro.ini 中配置：

[main]
customAdRealm = com.example.CustomAdRealm
customAdRealm.url = ldap://ad.example.com:389
securityManager.realms = $customAdRealm

4. 常见问题与解决方案

(1) 认证失败：Invalid credentials

• 原因：用户名或密码错误，或 AD 服务器配置不正确。
• 解决：
  • 检查 systemUsername 和 systemPassword 是否正确。
  • 确认 AD 用户的 sAMAccountName 是否与输入的用户名匹配。

(2) 认证失败：Connection refused

• 原因：AD 服务器地址或端口错误。
• 解决：
  • 确认 url 是否正确（如 ldap://ad.example.com:389）。
  • 检查防火墙是否放行 LDAP 端口（389 或 636）。

(3) 角色映射不生效

• 原因：groupRolesMap 配置错误或 AD 组路径不正确。
• 解决：
  • 使用 AD 工具（如 Active Directory Users and Computers）确认组 DN。
  • 确保 groupRolesMap 的格式为 AD组DN:Shiro角色。

(4) 性能问题

• 原因：频繁的 AD 查询导致延迟。
• 解决：
  • 使用缓存（如 Shiro 的 CachingRealm）。
  • 优化搜索过滤器，减少返回的数据量。

5. 总结

Shiro 的 Active Directory 认证通过 ActiveDirectoryRealm 实现，核心步骤包括：

1. 配置 shiro.ini 文件，设置 AD 服务器地址、系统管理员凭据、搜索基路径和角色映射。
2. 编写 Java 代码，通过 Subject.login() 执行认证。
3. 根据需求调整高级配置（如 SSL、自定义搜索、动态角色映射）。

适用场景：

• 企业级应用需要与现有 AD 环境集成。
• 需要基于 AD 组管理用户角色和权限。
• 适用于 Windows 域环境下的单点登录（SSO）。

通过合理配置，Shiro 可以高效、安全地实现与 Active Directory 的认证集成。