PHP LDAP StartTLS 灵活配置与故障恢复指南

<?php

// 定义LDAP StartTLS模式常量
const TLS_NO = 1;         // 不使用StartTLS
const TLS_OPTIONAL = 2;   // 尝试StartTLS，失败则回退非加密
const TLS_MANDATORY = 3;  // 强制StartTLS，失败则中止

// 配置当前的StartTLS模式，可根据需要修改
$startTlsMode = TLS_OPTIONAL; // 示例：设置为可选模式

/**
 * 建立LDAP连接并设置必要的选项
 * @return resource|false LDAP连接句柄或false（连接失败）
 */
function connectAndSetOptions() {
    // 这是一个免费的公共LDAP测试服务器，不支持TLS，方便测试
    $ldap = ldap_connect('ldap://ldap.forumsys.com:389');

    if (!$ldap) {
        echo "LDAP connect failed!\n";
        return false;
    }

    // 设置LDAP协议版本为3
    ldap_set_option($ldap, LDAP_OPT_PROTOCOL_VERSION, 3);
    // 设置TLS证书要求：尝试验证证书，但允许自签名或不可信证书
    // 注意：对于生产环境，应根据安全策略设置为LDAP_OPT_X_TLS_DEMAND或LDAP_OPT_X_TLS_HARD
    ldap_set_option($ldap, LDAP_OPT_X_TLS_REQUIRE_CERT, LDAP_OPT_X_TLS_TRY);

    return $ldap;
}

// 首次尝试建立LDAP连接
$ldap = connectAndSetOptions();
if (!$ldap) {
    echo "Initial LDAP connection failed. Aborting.\n";
    exit;
}

$tlsOk = true; // 默认认为TLS是成功的或不需要的

// 根据配置模式尝试StartTLS
if ($startTlsMode === TLS_OPTIONAL || $startTlsMode === TLS_MANDATORY) {
    echo "Attempting StartTLS...\n";
    $tlsOk = ldap_start_tls($ldap);
    if (!$tlsOk) {
        echo "StartTLS failed. Error: " . ldap_error($ldap) . " (Code: " . ldap_errno($ldap) . ")\n";
    } else {
        echo "StartTLS successful.\n";
    }
} else {
    echo "StartTLS is disabled.\n";
}

// 处理“可选StartTLS”模式下的回退逻辑
if ($startTlsMode === TLS_OPTIONAL && !$tlsOk) {
    echo "StartTLS failed in OPTIONAL mode. Reconnecting for unsecured bind...\n";
    // 如果StartTLS失败且模式为可选，则重新建立连接
    // 这一步至关重要，它清除了之前StartTLS尝试对连接句柄造成的影响
    $ldap = connectAndSetOptions();
    if (!$ldap) {
        echo "Reconnection failed. Aborting.\n";
        exit;
    }
    $tlsOk = true; // 重新连接后，视为可以进行非加密操作
}

// 根据TLS状态决定是否进行绑定
if ($tlsOk) {
    echo "Proceeding with LDAP bind...\n";
    // 绑定到LDAP服务器
    // 这是一个公共测试LDAP服务器的只读用户
    $bindOK = ldap_bind($ldap, 'cn=read-only-admin,dc=example,dc=com', 'password');

    if ($bindOK) {
        echo 'Bind successful!' . "\n";
    } else {
        echo 'Bind failed! Error: ' . ldap_error($ldap) . ' (Code: ' . ldap_errno($ldap) . ')' . "\n";
    }
} else {
    // 如果是强制StartTLS模式且StartTLS失败，则不尝试绑定
    echo 'No bind attempt (TLS was mandatory and failed).' . "\n";
}

// 关闭LDAP连接
if (is_resource($ldap)) {
    ldap_close($ldap);
}

?>