Django LDAP集成：用户搜索与组限制的常见陷阱与解决方案

AUTH_LDAP_USER_SEARCH = LDAPSearch("CN=allow,OU=Groups,DC=i,DC=e,DC=int", ldap.SCOPE_SUBTREE, "(sAMAccountName=%(user)s)")

AUTH_LDAP_USER_SEARCH = LDAPSearch("OU=E,DC=i,DC=e,DC=int", ldap.SCOPE_SUBTREE, "(sAMAccountName=%(user)s)")

AUTH_LDAP_REQUIRE_GROUP = "CN=allow,OU=Groups,DC=i,DC=e,DC=int"
AUTH_LDAP_GROUP_TYPE = GroupOfUniqueNamesType() # 错误：应为 GroupOfNamesType()
AUTH_LDAP_GROUP_SEARCH = LDAPSearch("CN=allow,OU=Groups,DC=i,DC=e,DC=int", ldap.SCOPE_SUBTREE, "(objectClass=groupOfNames)")

from django_auth_ldap.config import LDAPSearch, GroupOfNamesType, GroupOfUniqueNamesType

# ... 其他LDAP配置

AUTH_LDAP_REQUIRE_GROUP = "CN=allow,OU=Groups,DC=i,DC=e,DC=int"
AUTH_LDAP_GROUP_SEARCH = LDAPSearch("OU=Groups,DC=i,DC=e,DC=int", ldap.SCOPE_SUBTREE, "(objectClass=group)") # 搜索组的基准DN通常是OU=Groups
AUTH_LDAP_GROUP_TYPE = GroupOfNamesType() # 正确：与LDAP中的 groupOfNames 类型匹配

import ldap
from django_auth_ldap.config import LDAPSearch, GroupOfNamesType, LDAPGroupQuery

# --- LDAP 服务器配置 ---
AUTH_LDAP_SERVER_URI = "ldap://your.ldap.server" # 替换为您的LDAP服务器地址

# --- 绑定DN和密码 (如果需要匿名绑定，则可以省略或留空) ---
# AUTH_LDAP_BIND_DN = "CN=ldap_service,OU=ServiceAccounts,DC=i,DC=e,DC=int"
# AUTH_LDAP_BIND_PASSWORD = "your_service_password"

# --- 用户搜索配置 ---
# 基准DN应指向包含用户账户的OU或容器
AUTH_LDAP_USER_SEARCH = LDAPSearch("OU=E,DC=i,DC=e,DC=int", ldap.SCOPE_SUBTREE, "(sAMAccountName=%(user)s)")

# --- 用户属性映射 (可选，用于同步LDAP属性到Django用户模型) ---
AUTH_LDAP_USER_ATTR_MAP = {
    "first_name": "givenName",
    "last_name": "sn",
    "email": "mail"
}

# --- 组搜索和限制配置 ---
# 组搜索的基准DN应指向包含组对象的OU或容器
AUTH_LDAP_GROUP_SEARCH = LDAPSearch("OU=Groups,DC=i,DC=e,DC=int", ldap.SCOPE_SUBTREE, "(objectClass=group)")

# 根据LDAP中组的objectClass选择正确的GroupType
# 如果组是 groupOfNames 类型，使用 GroupOfNamesType()
# 如果组是 groupOfUniqueNames 类型，使用 GroupOfUniqueNamesType()
# 如果组是 Active Directory 的 group 类型，通常使用 ActiveDirectoryGroupType()
AUTH_LDAP_GROUP_TYPE = GroupOfNamesType()

# 指定用户必须是哪个组的成员才能登录
AUTH_LDAP_REQUIRE_GROUP = "CN=allow,OU=Groups,DC=i,DC=e,DC=int"

# --- 权限映射 (可选，将LDAP组映射到Django权限或组) ---
# AUTH_LDAP_MIRROR_GROUPS = True # 自动将LDAP组同步到Django组
# AUTH_LDAP_MIRROR_GROUPS_EXCLUDE = ["CN=SomeExcludedGroup,OU=Groups,DC=i,DC=e,DC=int"]

# AUTH_LDAP_IS_STAFF = LDAPGroupQuery("CN=staff,OU=Groups,DC=i,DC=e,DC=int")
# AUTH_LDAP_IS_SUPERUSER = LDAPGroupQuery("CN=superusers,OU=Groups,DC=i,DC=e,DC=int")

# --- 认证后端配置 ---
AUTHENTICATION_BACKENDS = [
    'django_auth_ldap.backend.LDAPBackend',
    'django.contrib.auth.backends.ModelBackend',
]

# --- 其他LDAP配置 (可选) ---
# AUTH_LDAP_START_TLS = True # 启用TLS
# AUTH_LDAP_GLOBAL_OPTIONS = {
#     ldap.OPT_X_TLS_REQUIRE_CERT: ldap.OPT_X_TLS_NEVER
# }