PHP LDAP StartTLS 灵活处理：实现可选TLS与连接重置策略

$ldap = ldap_connect('ldap://your-ldap-server:389');
if ($ldap) {
    ldap_set_option($ldap, LDAP_OPT_PROTOCOL_VERSION, 3);
    // 尝试启动TLS
    $tlsOk = ldap_start_tls($ldap);
    if ($tlsOk) {
        echo "StartTLS successful.\n";
    } else {
        echo "StartTLS failed.\n";
    }
    // 无论StartTLS结果如何，尝试绑定
    // $bindOk = ldap_bind($ldap, $bindDn, $password);
}

<?php

// 定义TLS处理模式常量
const TLS_NO = 1;         // 不使用StartTLS
const TLS_OPTIONAL = 2;   // 尝试StartTLS，失败则回退到非安全连接
const TLS_MANDATORY = 3;  // 强制使用StartTLS，失败则中止

// 根据需要修改此值以测试不同模式
$startTlsMode = TLS_OPTIONAL; 

/**
 * 建立LDAP连接并设置通用选项
 * @return resource|false LDAP连接句柄或false（连接失败）
 */
function connectAndSetOptions() {
    // 使用公共LDAP测试服务器，不提供TLS支持
    $ldap = ldap_connect('ldap://ldap.forumsys.com:389');
    if ($ldap === false) {
        echo "LDAP connection failed.\n";
        return false;
    }
    // 设置LDAP协议版本为3
    ldap_set_option($ldap, LDAP_OPT_PROTOCOL_VERSION, 3);
    // 设置TLS证书要求为尝试（即使服务器不提供证书也尝试连接）
    // 注意：此选项对StartTLS失败后的行为影响有限，关键在于重连策略
    ldap_set_option($ldap, LDAP_OPT_X_TLS_REQUIRE_CERT, LDAP_OPT_X_TLS_TRY);
    return $ldap;
}

// 1. 建立初始LDAP连接
$ldap = connectAndSetOptions();
if ($ldap === false) {
    exit('Initial LDAP connection failed. Aborting.');
}

$tlsOk = true; // 默认认为TLS是成功的或不需要的

// 2. 根据模式尝试StartTLS
if ($startTlsMode === TLS_OPTIONAL || $startTlsMode === TLS_MANDATORY) {
    echo "Attempting StartTLS...\n";
    $tlsOk = ldap_start_tls($ldap);
    if ($tlsOk) {
        echo "StartTLS successful.\n";
    } else {
        echo "StartTLS failed. Error: " . ldap_error($ldap) . " (Code: " . ldap_errno($ldap) . ")\n";
    }
} else {
    echo "StartTLS not required in this mode.\n";
}

// 3. 处理可选TLS模式下的StartTLS失败：重新建立连接
if ($startTlsMode === TLS_OPTIONAL && !$tlsOk) {
    echo "StartTLS failed in OPTIONAL mode. Re-establishing connection for non-secure bind...\n";
    ldap_close($ldap); // 关闭旧连接
    $ldap = connectAndSetOptions(); // 重新建立连接
    if ($ldap === false) {
        exit('Re-establishing LDAP connection failed. Aborting.');
    }
    $tlsOk = true; // 此时我们已回退到非安全模式，可以继续绑定
}

// 4. 执行绑定操作
if ($tlsOk) {
    echo "Attempting LDAP bind...\n";
    // 使用公共LDAP测试服务器的只读用户凭据
    $bindDn = 'cn=read-only-admin,dc=example,dc=com';
    $password = 'password';
    $bindOK = ldap_bind($ldap, $bindDn, $password);
    if ($bindOK) {
        echo 'Bind successful.' . "\n";
    } else {
        echo 'Bind failed. Error: ' . ldap_error($ldap) . ' (Code: ' . ldap_errno($ldap) . ')' . "\n";
    }
} else {
    echo 'No bind attempt (TLS was mandatory and failed).' . "\n";
}

// 5. 关闭LDAP连接
if (is_resource($ldap)) {
    ldap_close($ldap);
}

?>