ldap 协议本身不支持单次请求删除多个条目，因此 php 无法绕过该限制；必须通过循环调用 `ldap_delete()` 逐个删除指定 dn。
在使用 PHP 操作 LDAP 目录时，开发者常期望能像 SQL 的 DELETE FROM ... WHERE IN (...) 那样一次性批量删除多个条目（DN）。但需明确：这不是 PHP 的功能缺失，而是 LDAP 协议层面的硬性约束。
根据 RFC 4511 §4.8，LDAP Delete Request 消息结构仅定义了一个 entry 字段，其值为单一的 LDAPDN（即一个规范化的区分名）。协议未提供任何扩展机制支持多 DN 删除——这意味着无论使用 PHP、Python、Java 还是命令行工具（如 ldapdelete），都只能一次操作一个条目。
因此，正确的实现方式是：建立安全、健壮的循环逻辑，对每个 DN 执行独立的 ldap_delete() 调用。以下是一个生产就绪的示例：
[],
'failed' => []
];
foreach ($distinguishedNames as $dn) {
// 可选：验证 DN 格式（基础正则或 ldap_explode_dn）
if (!is_string($dn) || empty(trim($dn))) {
$results['failed'][] = ['dn' => $dn, 'error' => 'Invalid or empty DN'];
continue;
}
// 执行删除（注意：LDAP 删除不可撤销，建议前置检查）
if (ldap_delete($connection, $dn)) {
$results['success'][] = $dn;
} else {
$errorNumber = ldap_errno($connection);
$errorMessage = ldap_error($connection);
$results['failed'][] = [
'dn' => $dn,
'errno' => $errorNumber,
'error' => $errorMessage
];
}
}
return $results;
}
// 使用示例
$ldap = ldap_connect('ldap://your-server.com');
ldap_set_option($ldap, LDAP_OPT_PROTOCOL_VERSION, LDAP_VERSION_3);
ldap_bind($ldap, 'cn=admin,dc=example,dc=com', 'secret');
$dnsToDelete = [
'uid=user1,ou=people,dc=example,dc=com',
'uid=user2,ou=people,dc=example,dc=com',
'cn=groupA,ou=groups,dc=example,dc=com'
];
$result = batchDeleteLdapEntries($ldap, $dnsToDelete);
echo "成功删除: " . count($result['success']) . " 条\n";
echo "失败条目: " . count($result['failed']) . "\n";
if (!empty($result['failed'])) {
print_r($result['failed']);
}
ldap_close($ldap);
?>⚠️ 重要注意事项：
立即学习“PHP免费学习笔记（深入）”；
- 无事务支持：LDAP 不提供原子性批量操作，任一删除失败不影响其余操作，需自行实现回滚逻辑（如提前备份或记录中间状态）；
- 权限与 ACL：确保绑定账户拥有所有目标 DN 的 delete 权限，否则部分操作将静默失败；
- 性能考量：若需删除成百上千条目，可考虑在服务端启用连接复用（ldap_set_option($conn, LDAP_OPT_REFERRALS, 0)）并启用 TCP keep-alive，但无法规避网络往返次数；
- 安全防护：切勿直接将用户输入拼入 DN 数组，务必校验和白名单过滤，防止 LDAP 注入或越权删除。
总结：尽管无法实现“单请求多删除”，但通过结构化循环 + 错误归集 + 状态反馈，仍可构建高可靠性、可观测的批量清理流程。理解协议边界，比寻求不存在的“捷径”更为关键。
