区分 InvalidAttributeValueException 的原因

Question

我正在尝试通过 InvalidAttributeValueException 实例确定 LDAP 错误代码 19（密码策略错误）的原因，因此我将能够在 UI 中显示信息丰富的错误消息。

我当前使用的 LDAP 服务是 openLDAP（作为应用程序中的嵌入式 LDAP），它提供了一个信息丰富的消息，足以显示（即"[LDAP: error code 19 - Password fails quality checking policy]" & "[LDAP: error code 19 - Password is in history of old passwords]"）

但是现在我想支持 Active Directory 和其他 LDAP 提供程序（这将是外部的），并且从我在 rfc2251 和其他各种来源中看到的内容来看 - 每个实现都有自己的异常消息，唯一的标准是错误代码 19 映射到 InvalidAttributeValueException 而不是特定问题。

是否有解决方案（甚至是部分解决方案）来区分错误代码 19 的不同原因？ 给定InvalidAttributeValueException 实例，有没有办法查询 LDAP 以获取该问题的答案？

谢谢

Answer 1

我上面的 cmets 适用于通用 LDAP API，但我忘记了一些重要的东西。您需要调查https://datatracker.ietf.org/doc/html/draft-behera-ldap-password-policy-10 中指定的请求和响应控件。这在 OpenLDAP 中确实有效，但我不能说它是否受 Active Directory 支持。我有支持它的 Java JNDI 代码，欢迎您使用。 PasswordPolicyResponseControl 可以返回以下内容：

/** Warning codes. */
public enum Warning
{
    /** Password expiration warning.*/
    timeBeforeExpiration,
    /** Grace logins warning.*/
    graceAuthNsRemaining,
    none;
}

/** Error codes. */
public enum Error
{
    /** The password has expired.*/
    passwordExpired,
    /**
     * The account has been locked, either by an administrator
     * or as a result of too many failed login attempts.
     */
    accountLocked,
    /**
     * The password has been reset by an administrator and must be changed immediately.
     */
    changeAfterReset,
    /**
     * The password policy does not permit the user to change his password.
     */
    passwordModNotAllowed,
    /**
     * The password policy requires the old password to be supplied
     * when changing passwords.
     * This indicates a programming error in the client.
     */
    mustSupplyOldPassword,
    /**
     * The new password has failed the quality check.
     */
    insufficientPasswordQuality,
    /**
     * The new password is too short.
     */
    passwordTooShort,
    /**
     * The current password is too new to change yet.
     */
    passwordTooYoung,
    /**
     * The password policy specifies keeping a password history
     * and the new password is already in it.
     */
    passwordInHistory,
    /**
     * Error parsing the response control.
     * This indicates a programming error either in this
     * class or in the LDAP server.
     */
    unparseableResponseControl,
    /**
     * No additional information.
     * This can be seen e.g. when the user simply logs
     * in with the wrong password.
     */
    none;
};

Answer 2

查看specs of the given exception，您可以找到以下内容：

• 构造函数变体中给出了因实现而异的原因

InvalidAttributeValueException(String explanation)

• 它有一个调用它的方法：

exception.getExplanation()

它给出了与构造函数一起放入的值。

由于构造函数将值作为字符串而不是枚举，因此在编写不同的解决方案时，可能无法尝试获取每个编码器对该值赋予的值的列表。所以，正如你所发现的，每个人都会写他们认为合适的东西：所有的东西都不同，因此写的东西也不同。

这就是我可以说的规格。