若workbuddy无法连接ldap服务器，需依次排查：一、网络连通性（ping/nc检测）；二、客户端配置（uri、base dn、bind dn）；三、服务端响应（ldapsearch/openssl验证）；四、nslcd服务与配置；五、pam认证链完整性。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您已安装WorkBuddy但无法连接LDAP服务器，则可能是由于网络不可达、客户端配置错误或服务端未启用统一身份认证流程。以下是解决此问题的步骤：
一、验证网络层连通性
WorkBuddy需能与LDAP服务器建立基础TCP连接，若物理链路中断，所有后续认证均无法进行。必须确保客户端可访问LDAP服务监听地址及端口。
1、执行ping命令测试域名或IP是否可达：ping ldap.example.com（替换为实际LDAP服务器地址）。
2、使用nc命令检测LDAP默认端口是否开放：nc -zv ldap.example.com 389（明文）或nc -zv ldap.example.com 636（LDAPS）。
3、若测试失败，检查WorkBuddy所在主机的防火墙出站规则、云平台安全组策略，以及中间网络设备（如WAF、负载均衡器）是否拦截了389/636端口流量。
二、校验WorkBuddy端LDAP配置参数
WorkBuddy依赖准确的URI、Base DN、绑定凭证等参数发起LDAP查询；任一字段错误都将导致bind失败或搜索无结果。
1、进入WorkBuddy「设置」→「统一身份认证」页面，确认URI格式为ldap://host:389或ldaps://host:636，不含多余空格或斜杠。
2、核对Base DN字段是否与LDAP目录结构完全一致，例如：dc=example,dc=com；不可填写URL路径或不完整DN。
3、检查Bind DN字段是否为具有读权限的管理员账户，例如：cn=admin,dc=example,dc=com；密码需手动重新输入，避免粘贴时带入不可见字符。
三、测试LDAP服务端响应能力
绕过WorkBuddy直接调用标准LDAP工具，可判断问题是否源于服务端配置或数据权限，而非客户端集成逻辑。
1、在WorkBuddy所在机器执行以下命令验证基本连接与认证：ldapsearch -x -H ldap://ldap.example.com:389 -b "dc=example,dc=com" -D "cn=admin,dc=example,dc=com" -W。
WorkBuddy 桌宠工厂 —— 给一张角色图、一个 codex.pet 链接、一条 codex-pets.net 下载 URL、或一份现成的精灵表，就能自动创建一只可联动 WorkBuddy 状态的桌面宠物。当用户说"创建桌宠"、"做一只桌宠"、"用这张图做桌宠"、"从 codex.pet 安装桌宠"、"导入 codex 桌宠 XX"、"装一下 codex-pets.net 上的 XX&quo
2、若提示Invalid credentials，说明Bind DN或密码错误；若提示Timed out或No such object，则需检查服务端slapd监听配置、ACL权限或Base DN是否存在。
3、若使用LDAPS，追加openssl验证证书有效性：openssl s_client -connect ldap.example.com:636 -showcerts，确认证书未过期且签发者被系统信任。
四、检查nss-pam-ldapd（nslcd）服务状态与配置
WorkBuddy若通过系统级NSS/PAM接入LDAP（如用于本地登录或sudo），则nslcd进程及其配置文件决定用户能否被系统“看见”和“验证”。
1、确认nslcd服务正在运行：systemctl status nslcd；若未激活，执行systemctl start nslcd并设为开机自启。
2、检查/etc/nslcd.conf中uri、base、binddn、bindpw字段是否与WorkBuddy配置完全一致，特别注意base dc=example,dc=com格式不能写成URL或路径形式。
3、验证NSS层是否生效：执行getent passwd testuser；若有输出，说明nss已通；若无输出，查看journalctl -u nslcd日志定位具体拒绝原因。
五、确认PAM认证链完整性
即使nss能查到用户，若PAM未正确加载pam_ldap.so模块或account段缺失，WorkBuddy触发的系统级认证仍将失败，表现为“能查到用户但无法登录”。
1、检查/etc/pam.d/system-auth或common-auth中是否包含以下关键行：auth [success=ok default=ignore] pam_ldap.so use_first_pass，且位置在pam_unix.so之前。
2、确认account段存在：account [default=bad success=ok user_unknown=ignore] pam_ldap.so；缺失该行将导致PAM因无法确认账户状态而直接拒绝登录。
3、若需支持自动创建家目录，验证session段是否启用mkhomedir：session optional pam_mkhomedir.so umask=0022 skel=/etc/skel。
