Apache默认不加载LDAP认证模块，必须显式启用mod_ldap和mod_authnz_ldap，否则AuthLDAPURL等指令报语法错误或500错误；AuthLDAPURL需严格遵循ldap://host:port/baseDN?attr?scope?filter格式，baseDN须为用户实际所在OU，属性名（如sAMAccountName或uid）须匹配目录类型，scope推荐sub，filter不可省略；Require ldap-group失效主因是绑定账号无权读取group的member属性、未设AuthLDAPGroupAttributeIsDN on导致DN比对失败，或组逻辑嵌套配置不当；AuthLDAPBindAuthoritative控制fallback行为，设为off仅在配置多个AuthBasicProvider时有效。
Apache 默认不加载 LDAP 认证能力，mod_authnz_ldap 和依赖的 mod_ldap 必须显式启用，否则所有相关指令（如 AuthLDAPURL）都会报语法错误或导致 500 内部错误——日志里往往只显示 “Invalid command”，根本看不出缺模块。
必须先确认并启用两个核心模块
漏掉任一模块，配置就无法解析。Debian/Ubuntu 系统用：
-
a2enmod ldap和a2enmod authnz_ldap（注意顺序：先ldap，再authnz_ldap） - CentOS/RHEL 系统需确保已安装
mod_authnz_ldap包，并在/etc/httpd/conf.modules.d/或httpd.conf中取消注释两行：LoadModule ldap_module modules/mod_ldap.so和LoadModule authnz_ldap_module modules/mod_authnz_ldap.so - 重启前务必运行
apachectl -t；若提示 “Cannot load mod_ldap.so” 或类似，说明 OpenSSL 或openldap-clients库缺失（如 CentOS 上缺openldap-clients，Debian 上缺libldap2-dev）
AuthLDAPURL 格式错一个字符就查不到用户
这个 URL 不是普通链接，而是 LDAP 搜索语句的结构化表达，四个字段缺一不可且顺序固定：ldap://host:port/baseDN?attribute?scope?filter。
-
baseDN必须是用户实际所在 OU，比如ou=Employees,dc=example,dc=com，不能填根域dc=example,dc=com（太宽泛）或拼错 OU 名（如写成ou=employes） -
attribute要和用户登录名字段一致：OpenLDAP 常用uid，AD 常用sAMAccountName或userPrincipalName；填错会导致“用户名正确但认证失败” -
scope推荐用sub（子树搜索），one只查一级，base只查 baseDN 本身节点 -
filter别直接删掉，哪怕用默认(objectClass=*)；若限定类型，AD 可写(objectClass=user)，OpenLDAP 用(objectClass=inetOrgPerson)
Require ldap-group 权限控制失效的三个常见原因
用户能登录（Require valid-user 成功），却进不了受保护目录，大概率卡在组校验环节。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 绑定账号（
AuthLDAPBindDN）没权限读取目标 group 的member属性——AD 中需在该 group 的“安全”选项卡里，给绑定账号显式添加 “Read member” 权限 - 没设
AuthLDAPGroupAttributeIsDN on，导致 Apache 把用户uid当字符串去比对 group 的member字段值，而实际存的是完整 DN（如uid=john,ou=Users,dc=example,dc=com） - 组嵌套或布尔逻辑写错：
Require ldap-group是“或”语义；要实现“属于 A 组且不属于 B 组”，必须用
AuthLDAPBindAuthoritative 配置不当会静默跳过 LDAP
这个参数决定 Apache 在 LDAP 认证失败后是否尝试 fallback 到其他提供者（如文件认证）。但它不是开关，而是“权威性”开关：
-
AuthLDAPBindAuthoritative on（默认）：LDAP 认证失败 → 直接拒绝，不查其他 provider -
AuthLDAPBindAuthoritative off：LDAP 认证失败 → 继续尝试AuthBasicProvider列表里的下一个（如file），但前提是AuthBasicProvider显式写了多个，例如AuthBasicProvider ldap file - 常见误区：只写
AuthBasicProvider ldap却把AuthLDAPBindAuthoritative设为off，这毫无意义——没有第二个 provider 可 fallback
真正容易被忽略的是绑定账号的权限粒度：它不需要管理员权限，但必须对所有目标用户条目、所有目标组条目及其 member 属性有可读权限；用普通域用户当 AuthLDAPBindDN，十次有九次会在组校验阶段失败，且错误日志里几乎不报具体原因。
