security - 如何在不硬编码密码的情况下从智能手机连接到 LDAP？

Question

我们的 Android 应用程序连接到 LDAP 数据库以进行身份​​验证和用户数据（电子邮件地址、电话号码等）。到目前为止，该应用程序已连接到一个中间件，该中间件打开与 LDAP 的连接并为该应用程序执行操作。该应用程序只发送一个基本请求（例如“验证用户，如果他们没有角色，则授予他们角色”），并且中间件设置为仅处理那些可能的请求。

现在，我们被要求跳过中间件，直接从应用程序连接到 LDAP。问题是，据我所知，没有办法不对应用程序中的主 LDAP 用户的密码进行硬编码，而且我知道 .apk 文件很容易反编译。

有没有什么方法可以在不使用中间件的情况下从属于公众的手机上的客户端应用程序安全地直接连接到 LDAP？

Answer 1

基本思想是您匿名搜索用户，没有密码，然后使用您要求他提供的用户密码（重新）连接（=LDAP 绑定） ，而不是任何硬编码到应用程序中的东西。

Answer 2

我假设您也在使用 SSL/TLS 进行通信？如果没有请做。