永久ldap认证会话

我正在尝试构建一个简单的基于Web的目录导航/管理应用程序 .

申请要求：

• Active Directory（或其他目录服务）域用户访问此Web应用程序并使用相同的域用户/密码凭据登录 .

• 然后用户可以导航目录树，创建/编辑条目，编辑条目的属性等 .

我正在使用perl Net :: LDAP进行ldap操作，如：

#!/usr/bin/perl -wT

use Net::LDAP;
use CGI qw(:standard);
use CGI::Carp qw(warningsToBrowser fatalsToBrowser);

my $ssl = 1;
my $srv = '192.168.56.110';
my $uri = $ssl ? 'ldaps://' : 'ldap://';

my $c = Net::LDAP->new($uri . $srv) or
    die "Unable to connect to server: $@\n";

# !!! This is a temporary workaround !!!
my $binddn = "cn=Administrator,cn=users,dc=example,dc=com";
my $passwd = "password";

my $mesg = $c->bind($binddn, password => $passwd);
die 'Unable to bind: ' . $mesg->error . "\n" if $mesg->code;

# DN to be deleted
my $dn = param('DN');

$mesg = $c->delete($dn);
die 'Error in delete: '. $mesg->error() ."\n" if $mesg->code();

$c->unbind;

我可以用HTML表单调用这个cgi脚本，如：

<form action="/cgi-bin/del.cgi" method="post">
<br>Peter Parker
<input type="radio" name="DN"
    value="cn=peter parker,cn=users,dc=example,dc=com">
<br>Clark Kent
<input type="radio" name="DN"
    value="cn=clark kent,cn=users,dc=example,dc=com">
<br>
<input type="submit" value="Delete User">
</form>

此代码的问题是ldap操作使用管理凭据，而不是运行Web应用程序的用户的凭据 . 我正在使用此解决方法，因为我不能每次都要求用户提供他/她的凭据..而且我不知道如何让用户永久进行身份验证 .

我的Web应用程序通过ldap对用户进行身份验证，询问他的凭据并向目录服务发出绑定请求，如下所示：

...
# read user supplied credentials
my $user_id = param('user_id');
my $password = param('password');

# now find the DN of user_id in directory
my $ssl = 1;
my $srv = '192.168.56.110';
my $uri = $ssl ? 'ldaps://' : 'ldap://';

my $c = Net::LDAP->new($uri . $srv) or
    die "Unable to connect to server: $@";

# admin credentials are needed here to find the user DN
my $rootdn = "cn=Administrator,cn=users,dc=example,dc=com";
my $rootpw = "secret";

my $mesg = $c->bind($rootdn, password => $rootpw);
die "Unable to bind: ". $mesg->error if $mesg->code;

$mesg = $c->search(
    base    => 'dc=example,dc=com',
    scope   => 'sub',
    filter  => "(&(objectClass=user)(sAMAccountName=$user_id))",
    attrs   => ['sAMAccountName'],
);
die "Bad search: ". $mesg->error() if $mesg->code();

my ($entry) = $mesg->entries;
die "User not found: $user_id\n" unless $entry;

my $dn = $entry->dn;

# User DN found.. now check the credentials
$mesg = $c->bind($dn, password => $password);
die "Unable to bind: ". $mesg->error if $mesg->code;

$c->unbind();

# credentials validated!
print header, start_html('Welcome!'), h1('Hello, YOU!'), end_html;

之后，将cookie发送到启动Web会话的用户浏览器 . 我可以将用户凭据保存在数据库中，然后在我需要的任何时候将其传递给del.cgi（和其他类似的脚本）..但我不认为这是一个很好的安全实践 .

What can I do to keep a permanent ldap authenticated session as long as the web session is active?