20、保障OpenLDAP安全：深入解析访问控制列表

保障OpenLDAP安全：深入解析访问控制列表

1. 控制字段详解

在OpenLDAP的访问控制列表（ACL）中， by 短语的最后一个字段是控制字段。控制字段只有三种可能的值： stop 、 break 和 continue 。如果未指定控制字段，则默认为 stop ，例如 by * none 等同于 by * none stop 。

stop 表示如果特定的 by 子句匹配，将不再对其他ACL进行匹配检查。例如：

access to attr=employeeNumber, employeeType, departmentNumber
       by users=cd
       by dn="uid=matt,ou=Users,dc=example,dc=com" +r
access to attr=employeeNumber
       by users +w

当以 uid=matt,ou=Users,dc=example,dc=com 进行绑定并尝试修改 employeeNumber 时，将不被允许。因为一旦SLAPD发现匹配第一个ACL的第一个 by 子句（ by users =cd ），就会停止测试其他ACL，不会到达授予