PHP连接LDAPS与Active Directory：安全配置与分步认证指南

<?php
// LDAP连接示例
$ldap_host = "ldap.forumsys.com"; // LDAP服务器地址
$ldap_port = 389; // LDAP默认端口
$ldap_dn = "uid=testuser,dc=example,dc=com"; // 用户DN
$ldap_password = "password"; // 用户密码

// 建立LDAP连接
$ldap_con = ldap_connect($ldap_host, $ldap_port);

if ($ldap_con) {
    // 设置LDAP协议版本为3
    ldap_set_option($ldap_con, LDAP_OPT_PROTOCOL_VERSION, 3);
    // 可选：设置不引用别名
    ldap_set_option($ldap_con, LDAP_OPT_REFERRALS, 0); 

    // 尝试绑定
    if (@ldap_bind($ldap_con, $ldap_dn, $ldap_password)) {
        echo "LDAP 绑定成功！";
        // 可以在此处执行查询操作
        // ...
    } else {
        echo "LDAP 绑定失败：" . ldap_error($ldap_con);
    }
    // 关闭连接
    ldap_close($ldap_con);
} else {
    echo "无法连接到LDAP服务器！";
}
?>

<?php
// ...
$ldap_host = "ldaps://192.168.***.**:636"; // 正确的LDAPS服务器地址和端口
// ...
$ldap_con = ldap_connect($ldap_host); // 只需要传入主机和端口
// ...
?>

<?php
// 服务账户凭证
$service_account_dn = "CN=ServiceUser,CN=Users,DC=ultimate,DC=local"; // 服务账户的完整DN
$service_account_password = "ServicePassword"; // 服务账户的密码

// 用户提供的用户名（例如sAMAccountName）
$username_to_find = $_POST["username"]; 
$user_password_for_auth = $_POST["password"]; // 用户提供的密码

$ldap_con = ldap_connect("ldaps://192.168.***.**:636");

if (!$ldap_con) {
    die("无法连接到LDAPS服务器！");
}

ldap_set_option($ldap_con, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldap_con, LDAP_OPT_REFERRALS, 0); // 禁用引用，避免AD复杂结构问题

// 步骤1: 使用服务账户绑定，获取查询权限
if (@ldap_bind($ldap_con, $service_account_dn, $service_account_password)) {
    echo "服务账户绑定成功，开始查找用户DN。<br>";

    // 定义搜索的Base DN (通常是整个域的DN)
    $base_dn = "DC=ultimate,DC=local"; 
    // 定义搜索过滤器，查找用户
    $filter = "(sAMAccountName=" . ldap_escape($username_to_find, '', LDAP_ESCAPE_FILTER) . ")";
    // 仅返回dn属性
    $attributes = array("dn"); 

    $search_result = ldap_search($ldap_con, $base_dn, $filter, $attributes);

    if ($search_result) {
        $entries = ldap_get_entries($ldap_con, $search_result);
        if ($entries["count"] > 0) {
            $user_full_dn = $entries[0]["dn"];
            echo "找到用户DN: " . $user_full_dn . "<br>";

            // 步骤2: 使用找到的用户DN和用户提供的密码进行认证
            // 重新绑定（或创建一个新连接，通常重新绑定更方便）
            if (@ldap_bind($ldap_con, $user_full_dn, $user_password_for_auth)) {
                echo "用户 " . $username_to_find . " 认证成功！";
                $_SESSION['username'] = $username_to_find;
                header("Location: Startseite.php");
                exit();
            } else {
                echo "用户 " . $username_to_find . " 认证失败：无效凭据。";
            }
        } else {
            echo "未找到用户 " . $username_to_find . "。";
        }
    } else {
        echo "LDAP搜索失败：" . ldap_error($ldap_con);
    }
} else {
    echo "服务账户绑定失败：" . ldap_error($ldap_con);
}

// 关闭连接
if ($ldap_con) {
    ldap_close($ldap_con);
}
?>

ldap_set_option($ldap_con, LDAP_OPT_X_TLS_CACERTFILE, '/path/to/your/ca.pem');
// 禁用证书验证，仅用于开发测试，生产环境不推荐
// ldap_set_option($ldap_con, LDAPAP_OPT_X_TLS_VERIFY_PEER, false); 

<?php
session_start(); // 启动会话

// 配置信息
$ldap_host = "ldaps://192.168.***.**:636"; // 替换为你的AD服务器IP或域名及端口
$base_dn = "DC=ultimate,DC=local"; // 替换为你的AD域的Base DN

// 服务账户凭证 (用于查询目录)
$service_account_dn = "CN=ServiceUser,OU=ServiceAccounts,DC=ultimate,DC=local"; // 替换为你的服务账户完整DN
$service_account_password = "YourServicePassword"; // 替换为你的服务账户密码

// 用户提交的凭证
$submitted_username = $_POST["username"] ?? '';
$submitted_password = $_POST["password"] ?? '';

// 检查是否收到提交
if (empty($submitted_username) || empty($submitted_password)) {
    echo "请输入用户名和密码。";
    exit();
}

$ldap_con = null; // 初始化连接句柄

try {
    // 建立LDAPS连接
    $ldap_con = ldap_connect($ldap_host);
    if (!$ldap_con) {
        throw new Exception("无法连接到LDAPS服务器。错误信息: " . ldap_error($ldap_con));
    }

    // 设置LDAP协议版本为3
    ldap_set_option($ldap_con, LDAP_OPT_PROTOCOL_VERSION, 3);
    // 禁用引用，避免AD复杂结构问题
    ldap_set_option($ldap_con, LDAP_OPT_REFERRALS, 0);
    // 可选：指定CA证书文件路径，确保LDAPS连接的信任
    // ldap_set_option($ldap_con, LDAP_OPT_X_TLS_CACERTFILE, '/path/to/your/ca.pem');
    // 可选：禁用证书验证（仅限开发测试，生产环境强烈不建议）
    // ldap_set_option($ldap_con, LDAP_OPT_X_TLS_VERIFY_PEER, false);

    // 步骤1: 使用服务账户绑定，获取查询权限
    if (!@ldap_bind($ldap_con, $service_account_dn, $service_account_password)) {
        throw new Exception("服务账户绑定失败。请检查服务账户DN和密码。错误信息: " . ldap_error($ldap_con));
    }

    // 步骤2: 查找用户DN
    // 使用sAMAccountName作为过滤器查找用户
    $filter = "(sAMAccountName=" . ldap_escape($submitted_username, '', LDAP_ESCAPE_FILTER) . ")";
    $attributes = array("dn"); // 只获取DN属性

    $search_result = ldap_search($ldap_con, $base_dn, $filter, $attributes);
    if (!$search_result) {
        throw new Exception("LDAP搜索失败。错误信息: " . ldap_error($ldap_con));
    }

    $entries = ldap_get_entries($ldap_con, $search_result);

    if ($entries["count"] === 0) {
        throw new Exception("未找到用户 " . htmlspecialchars($submitted_username) . "。");
    }

    $user_full_dn = $entries[0]["dn"];

    // 步骤3: 使用找到的用户DN和用户提供的密码进行认证
    // 注意：这里我们使用同一个连接句柄进行重新绑定，这在PHP LDAP中是允许的。
    if (@ldap_bind($ldap_con, $user_full_dn, $submitted_password)) {
        $_SESSION['username'] = $submitted_username;
        echo "用户 " . htmlspecialchars($submitted_username) . " 认证成功！正在重定向...";
        header("Location: Startseite.php");
        exit();
    } else {
        throw new Exception("用户 " . htmlspecialchars($submitted_username) . " 认证失败：无效凭据。");
    }

} catch (Exception $e) {
    echo "认证失败：" . $e->getMessage();
} finally {
    // 关闭LDAP连接
    if ($ldap_con) {
        ldap_close($ldap_con);
    }
}
?>