PHP LDAP StartTLS 灵活策略：实现可选TLS连接与故障回退

<?php

// 定义TLS连接模式常量
const TLS_NO = 1;         // 不使用StartTLS
const TLS_OPTIONAL = 2;   // 尝试StartTLS，失败则回退
const TLS_MANDATORY = 3;  // 强制StartTLS，失败则中止

// 根据需要设置当前的TLS模式
// 可以更改此值来测试不同的场景
$startTlsMode = TLS_OPTIONAL; // 示例：设置为可选模式

/**
 * 建立LDAP连接并设置必要的选项
 * @return resource|false LDAP连接句柄或false
 */
function connectAndSetOptions() {
    // 使用公共测试LDAP服务器，该服务器不支持TLS，便于测试StartTLS失败场景
    $ldap = ldap_connect('ldap://ldap.forumsys.com:389');
    if (!$ldap) {
        error_log("LDAP连接失败！");
        return false;
    }
    // 必须设置LDAP协议版本为3
    ldap_set_option($ldap, LDAP_OPT_PROTOCOL_VERSION, 3);
    // 设置TLS证书要求。LDAP_OPT_X_TLS_TRY 表示尝试验证但即使失败也可能继续。
    // 这个选项主要影响TLS握手时的证书验证，与ldap_start_tls()是否成功是独立的。
    ldap_set_option($ldap, LDAP_OPT_X_TLS_REQUIRE_CERT, LDAP_OPT_X_TLS_TRY);
    return $ldap;
}

// 1. 首次尝试建立LDAP连接并设置选项
$ldap = connectAndSetOptions();
if (!$ldap) {
    exit("无法建立初始LDAP连接，程序中止。\n");
}

$tlsOk = true; // 默认假设TLS成功或不需要，用于后续逻辑判断

// 2. 根据配置模式尝试启动StartTLS
if ($startTlsMode === TLS_OPTIONAL || $startTlsMode === TLS_MANDATORY) {
    echo "尝试启动StartTLS...\n";
    $tlsOk = ldap_start_tls($ldap);
    if (!$tlsOk) {
        echo "StartTLS失败。错误码：" . ldap_errno($ldap) . "，错误信息：" . ldap_error($ldap) . "\n";
    } else {
        echo "StartTLS成功。\n";
    }
} else {
    echo "根据配置，不使用StartTLS。\n";
}

// 3. 处理StartTLS失败且模式为可选的情况：重新建立非加密连接
if ($startTlsMode === TLS_OPTIONAL && !$tlsOk) {
    echo "StartTLS失败，但配置为可选模式，重新建立非加密连接...\n";
    // 关闭旧连接（可选，PHP脚本结束时会自动关闭）
    // ldap_close($ldap);

    // 重新建立连接，获取一个新的LDAP连接句柄
    $ldap = connectAndSetOptions(); 
    if (!$ldap) {
        exit("无法重新建立LDAP连接以进行非加密绑定，程序中止。\n");
    }
    $tlsOk = true; // 标记为已准备好进行非加密绑定
}

// 4. 进行LDAP绑定操作
if ($tlsOk) {
    echo "尝试进行LDAP绑定...\n";
    // 使用公共测试LDAP服务器的只读管理员凭据进行绑定
    $bindOK = ldap_bind($ldap, 'cn=read-only-admin,dc=example,dc=com', 'password');
    if ($bindOK) {
        echo 'LDAP绑定成功！' . "\n";
    } else {
        echo 'LDAP绑定失败！错误码：' . ldap_errno($ldap) . '，错误信息：' . ldap_error($ldap) . "\n";
    }
} else {
    echo '未尝试进行绑定（StartTLS强制模式下失败）。' . "\n";
}

// 确保关闭LDAP连接
if (is_resource($ldap)) {
    ldap_close($ldap);
}

?>