haskell - 使用 `ldap-haskell` : can it be made secure? 进行 LDAP 身份验证

Question

我正在构建一个需要身份验证的 Haskell Web 应用程序。我的组织运行 LDAP 服务器，我不想重新发明轮子。但是，当我检查 LDAP.Init.ldapSimpleBind 的源代码时来自 ldap-haskell包，我发现它调用了 C 例程 ldap_simple_bind_s .据我所知，这个 API 调用会将我用户的密码以明文形式发送到 LDAP 服务器。不能接受的。

我是否正确理解了什么 ldap-haskell是在做？

如果是这样，是否有一种安全的方法可以让我从用 Haskell 编写的应用程序向 LDAP 服务器验证我的用户？

Answer 1

密码必须通过安全连接以明文形式发送到支持密码策略检查的 LDAP 服务器。否则将导致服务器无法管理密码历史记录和密码质量检查。如果服务器不支持密码策略和历史检查，则该服务器不应用于非平凡的关键任务应用程序。使用 SSL 或失败，使用 StartTLS 扩展操作提升到 TLS 的不安全连接。