PHP实现LDAPS连接到Active Directory的实践指南

<?php
// LDAP连接示例
$ldap_dn = "uid=".$_POST["username"].",dc=example,dc=com";
$ldap_password = $_POST["password"];

// 连接到LDAP服务器
$ldap_con = ldap_connect("ldap.forumsys.com");
ldap_set_option($ldap_con, LDAP_OPT_PROTOCOL_VERSION, 3); // 设置LDAP协议版本为3

// 尝试绑定（认证）
if(@ldap_bind($ldap_con, $ldap_dn, $ldap_password)) {
    $_SESSION['username'] = $_POST["username"];
    header("Location: Startseite.php");
} else {
    echo "Invalid Credential";
}
// ldap_close($ldap_con); // 良好的实践是关闭连接
?>

// 错误的LDAPS连接尝试
// $ldap_con = ldap_connect("ldaps://192.168.***.**:636,OU=ULTIMATE,DC=ultimate,DC=local");
// 这会导致“Bad parameter”错误

<?php
// 正确的LDAPS连接方式
$ldap_server = "ldaps://192.168.***.**:636"; // 或者使用域名 ldaps://your-ad-server.yourdomain.local:636
$ldap_con = ldap_connect($ldap_server);

if ($ldap_con === false) {
    die("无法连接到LDAP服务器: " . ldap_error($ldap_con));
}

// 设置LDAP协议版本为3
ldap_set_option($ldap_con, LDAP_OPT_PROTOCOL_VERSION, 3);
// 启用LDAP引用追溯（如果需要，对于AD可能有用）
// ldap_set_option($ldap_con, LDAP_OPT_REFERRALS, 0); 
// 忽略证书验证（仅在开发/测试环境谨慎使用，生产环境应配置CA证书）
// ldap_set_option($ldap_con, LDAP_OPT_X_TLS_REQUIRE_CERT, LDAP_OPT_X_TLS_NEVER); 
// ldap_set_option($ldap_con, LDAP_OPT_X_TLS_VERIFY_PEER, false);
?>

<?php
session_start(); // 启动会话

// Active Directory 配置
$ad_server = "ldaps://192.168.***.**:636"; // 替换为你的AD服务器IP或域名
$ad_base_dn = "DC=ultimate,DC=local"; // 替换为你的AD域的Base DN

// 假设有一个服务账户用于初始查询，如果用户没有权限直接查询
// 在实际生产环境中，这些凭据应从安全配置中加载，而非硬编码
$service_account_dn = "CN=ServiceAccount,OU=ServiceAccounts,DC=ultimate,DC=local"; // 替换为你的服务账户DN
$service_account_password = "YourServiceAccountPassword"; // 替换为你的服务账户密码

// 用户输入的凭据
$username = $_POST["username"] ?? '';
$password = $_POST["password"] ?? '';

if (empty($username) || empty($password)) {
    echo "请输入用户名和密码。";
    exit();
}

$ldap_con = null; // 初始化连接句柄

try {
    // 1. 建立LDAPS连接
    $ldap_con = ldap_connect($ad_server);
    if ($ldap_con === false) {
        throw new Exception("无法连接到LDAP服务器: " . ldap_error($ldap_con));
    }

    // 设置LDAP协议版本为3
    ldap_set_option($ldap_con, LDAP_OPT_PROTOCOL_VERSION, 3);
    // 启用LDAP引用追溯（Active Directory可能需要）
    ldap_set_option($ldap_con, LDAP_OPT_REFERRALS, 0);

    // 如果你的LDAPS证书是自签名或不受信任的，可能需要禁用证书验证
    // **警告：生产环境不建议禁用证书验证，应配置CA证书**
    // ldap_set_option($ldap_con, LDAP_OPT_X_TLS_REQUIRE_CERT, LDAP_OPT_X_TLS_NEVER);
    // ldap_set_option($ldap_con, LDAP_OPT_X_TLS_VERIFY_PEER, false);
    // ldap_set_option($ldap_con, LDAP_OPT_X_TLS_CACERTFILE, '/path/to/your/ca_cert.pem'); // 生产环境配置CA证书

    // 2. 使用服务账户进行初始绑定（如果需要搜索用户DN）
    // 如果AD允许匿名查询或用户DN可以直接推断，则此步骤可选
    if (!@ldap_bind($ldap_con, $service_account_dn, $service_account_password)) {
        throw new Exception("服务账户绑定失败: " . ldap_error($ldap_con));
    }

    // 3. 搜索用户DN
    // 在Active Directory中，通常通过sAMAccountName（登录名）来查找用户
    $filter = "(sAMAccountName=" . ldap_escape($username, '', LDAP_ESCAPE_FILTER) . ")";
    $search_result = ldap_search($ldap_con, $ad_base_dn, $filter, array("dn")); // 只获取DN属性

    if ($search_result === false) {
        throw new Exception("LDAP搜索失败: " . ldap_error($ldap_con));
    }

    $entries = ldap_get_entries($ldap_con, $search_result);

    if ($entries["count"] == 0) {
        echo "用户不存在。";
        exit();
    }

    $user_dn = $entries[0]["dn"]; // 获取用户的完整DN

    // 4. 使用用户提供的凭据进行绑定（认证）
    // 注意：这里我们重新尝试绑定，因为之前的绑定是服务账户
    // 某些情况下，可以直接使用用户凭据绑定，无需服务账户，取决于AD配置
    if (@ldap_bind($ldap_con, $user_dn, $password)) {
        $_SESSION['username'] = $username;
        header("Location: Startseite.php");
        exit(); // 重定向后立即退出
    } else {
        echo "无效的用户名或密码。";
    }

} catch (Exception $e) {
    echo "认证失败: " . $e->getMessage();
} finally {
    // 5. 关闭LDAP连接
    if ($ldap_con) {
        ldap_close($ldap_con);
    }
}
?>