Spring Security连LDAP失败主因是配置、网络或权限问题；需正确配置LdapContextSource的url、userDn及TLS参数，验证连通性后，再配用户搜索、绑定与角色同步。
Spring Security怎么连LDAP服务器
连不上不是配置写错了，就是网络或权限没通。Spring Security本身不内置LDAP连接池，得靠LdapContextSource搭桥，它才是真正发请求的组件。
- 必须显式配置
url（如ldap://192.168.1.100:389），不能只写主机名；LDAPS要换ldaps://且配信任库 -
userDn填的是有查询权限的账号，比如cn=admin,dc=example,dc=com，不是普通用户登录用的DN - 如果LDAP服务器启用了TLS但没配
baseEnvironmentProperties加java.naming.security.authentication=simple，会报javax.naming.AuthenticationException - 开发时建议先用
ldapsearch命令验证连通性：ldapsearch -x -H ldap://192.168.1.100 -D "cn=admin,dc=example,dc=com" -W -b "dc=example,dc=com" "(uid=testuser)"
用户搜索和绑定怎么配才不踩坑
Spring Security默认用BindAuthenticator做认证，本质是拿用户输的账号密码去LDAP bind一次。但它不负责找用户DN——这个得靠FilterBasedLdapUserSearch提前查出来。
-
userSearchBase（如ou=people,dc=example,dc=com）必须是子树搜索起点，不能写成完整DN；否则搜不到人 -
userSearchFilter推荐用(uid={0})，别写(sAMAccountName={0})就默认适配AD——OpenLDAP里这属性根本不存在 - 如果LDAP返回的用户属性名和Spring Security默认的不一致（比如邮箱字段叫
mail而非email），得在DefaultLdapAuthoritiesPopulator里手动映射，否则getAuthorities()为空 - 测试时输错密码，日志里可能只显示
Bad credentials，实际可能是bind阶段超时——开logging.level.org.springframework.security.ldap=DEBUG看真实异常
application.yml里哪些LDAP配置项不能少
yml格式看着简洁，但缩进和类型容易翻车。Spring Boot 2.7+对spring.ldap*前缀的支持已弱化，优先用spring.security.ldap*。
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 必填项：
spring.security.ldap.urls（List类型，支持多地址）、spring.security.ldap.base（根搜索路径）、spring.security.ldap.user-dn-pattern（简单场景可用，如uid={0},ou=people,dc=example,dc=com） - 如果用
user-dn-pattern，就别再配user-search-base和user-search-filter，否则冲突导致启动报IllegalArgumentException: Cannot combine userDnPattern with userSearch -
spring.security.ldap.group-search-base和group-search-filter要配全，否则角色同步失败，hasRole('ADMIN')永远为false - 密码明文写yml里？不行。用
{cipher}加密或换成环境变量：SPRING_SECURITY_LDAP_PASSWORD=xxx
为什么本地能跑线上连不上LDAP
不是代码问题，大概率是容器网络策略或JVM参数挡的。K8s Pod默认不允许访问外部LDAP端口，而Java 8u161+对LDAP Referral处理更严格。
立即学习“Java免费学习笔记（深入）”；
- Docker/K8s里检查
iptables是否放行389/636端口，telnet 192.168.1.100 389不通就别折腾代码了 - JVM启动加
-Dcom.sun.jndi.ldap.object.disableEndpointIdentification=true——LDAPS证书CN不匹配时避免CertPathValidatorException - 某些LDAP服务（如FreeIPA）返回Referral响应，Spring Security默认不跟随，需在
LdapContextSource里设setReferral("follow") - 生产环境禁用
anonymous-read后，userSearch阶段会因无权限失败，此时必须确保userDn账号有足够ACL
LDAP的DN拼写、属性名大小写、空格、转义字符，任何一处差一个字符都会静默失败。别信“应该差不多”，抓包看实际发出去的filter才是真解法。
