LDAP 登錄密碼不區分大小寫問題的排查與解決

LDAP 密碼大小寫不敏感的成因及對策

遇到 LDAP 普通用戶登錄時密碼不區分大小寫，且無法直接讀取密碼屬性（通常為 userPassword），需從以下方向排查：

1. 確認 LDAP 服務端密碼策略

• OpenLDAP 預設使用 pwdCheckQuality 等策略，可強制大小寫敏感
• Active Directory 預設區分大小寫，若不敏感請檢查是否啟用了特定密碼過濾器或自定義驗證邏輯

2. 檢查綁定認證方式

應用層若使用簡單綁定，應直接傳遞用戶輸入的原始密碼給 LDAP 服務端驗證，切勿在應用層自行比對密碼。若應用層先查詢再比對，因無法讀取 userPassword（通常受 ACL 保護），會導致邏輯錯誤。

3. 避免應用層轉換大小寫

檢查代碼中是否存在 toLowerCase() / toUpperCase() 等操作導致密碼被標準化。

4. 驗證 SASL 機制

若使用 DIGEST-MD5 等 SASL 機制，確保客戶端與服務端協商一致，且未啟用忽略大小寫選項。

建議排查步驟

1. 用 ldapsearch -x -D "cn=user,dc=example,dc=com" -W 直接測試大小寫敏感度
2. 檢查應用代碼中的綁定邏輯，確保直接將用戶輸入傳給 LDAP
3. 查閱目錄服務的密碼策略配置（如 pwdMinLength, pwdCheckModule 等）

若問題依然存在，請提供具體 LDAP 服務類型（OpenLDAP / AD / ApacheDS 等）及客戶端代碼片段以便進一步分析。