本文介绍在内部 LDAP 环境下，使用 Laravel 直接修改用户密码的完整实现方案，无需邮箱验证，依赖 adldap2/adldap2-laravel 包封装原生 LDAP 操作，支持绑定、查找与密码更新。
本文介绍在内部 ldap 环境下，使用 laravel 直接修改用户密码的完整实现方案，无需邮箱验证，依赖 `adldap2/adldap2-laravel` 包封装原生 ldap 操作，支持绑定、查找与密码更新。
在企业内网环境中，LDAP 常作为统一身份认证后端，而 Laravel 应用需提供自助式密码修改功能（如员工门户）。由于服务部署于内网，无法或无需触发邮箱验证流程，此时应绕过传统「重置链接」逻辑，直接调用 LDAP 协议执行密码修改（Modify Password Extended Operation 或 userPassword 属性更新）。
推荐使用社区成熟度高、Laravel 集成完善的 Adldap2-Laravel 包（注意：其已迁移至 adldap2/adldap2-laravel，原 laravel/ldap 已弃用）。该包基于 PHP 原生 ldap_* 扩展构建，提供面向对象的 LDAP 操作抽象，并深度适配 Laravel 的服务容器、Auth 和配置体系。
✅ 快速集成步骤
-
安装依赖
composer require adldap2/adldap2-laravel:^11.0
-
发布并配置
php artisan vendor:publish --provider="Adldap\Laravel\AdldapServiceProvider" php artisan vendor:publish --provider="Adldap\Laravel\AdldapAuthServiceProvider"
编辑 .env 设置连接参数（以 OpenLDAP 为例）：
LDAP_HOSTS=192.168.10.50 LDAP_PORT=389 LDAP_BASE_DN="dc=company,dc=local" LDAP_USERNAME="cn=admin,dc=company,dc=local" LDAP_PASSWORD="secret" LDAP_TIMEOUT=5 LDAP_SSL=false LDAP_TLS=false
-
在控制器中修改密码（需管理员权限或用户自持凭据）
use Adldap\Adldap; use Adldap\Models\User; use Illuminate\Http\Request; public function changePassword(Request $request) { $request->validate([ 'dn' => 'required|string', 'old_password' => 'required|string', 'new_password' => 'required|string|min:8', ]); try { // 方式一：使用当前登录用户凭据（推荐用于“自助修改”） $ad = new Adldap(); $ad->addProvider([ 'hosts' => config('ldap.hosts'), 'port' => config('ldap.port'), 'base_dn' => config('ldap.base_dn'), 'username' => $request->input('dn'), // 用户完整 DN，如 "uid=john,ou=users,dc=company,dc=local" 'password' => $request->input('old_password'), ]); $provider = $ad->connect(); $user = $provider->search()->findByDn($request->input('dn')); if (!$user) { return response()->json(['error' => 'User not found'], 404); } // ⚠️ 注意：OpenLDAP 使用 userPassword，Active Directory 使用 unicodePwd（需 UTF-16 编码+引号包裹） $user->setUserPassword($request->input('new_password')); $user->save(); return response()->json(['message' => 'Password updated successfully']); } catch (\Adldap\Auth\BindException $e) { return response()->json(['error' => 'Authentication failed'], 401); } catch (\Exception $e) { return response()->json(['error' => 'Failed to update password: ' . $e->getMessage()], 500); } }
⚠️ 关键注意事项
- 权限控制：LDAP 密码修改需足够权限。普通用户通常只能修改自身密码（需先 bind 成该用户），管理员可批量操作，但务必校验操作合法性。
-
AD vs OpenLDAP 差异：
- Active Directory 要求 unicodePwd 属性值为 UTF-16LE 编码，且必须用双引号包裹（如 '"NewPass123!"'），且连接必须启用 SSL/TLS（LDAPS 或 StartTLS）。
- OpenLDAP 默认使用 userPassword，明文或 SSHA 加密（取决于 schema 配置），无需强制加密连接。
-
安全建议：
- 前端密码字段禁用 autocomplete；
- 接口仅限 HTTPS 访问；
- 记录密码修改日志（DN + IP + 时间）；
- 对新密码实施强度策略（长度、复杂度），可在 Laravel Validator 中增强校验。
通过以上方式，你可在 Laravel 应用中安全、可控地实现内网 LDAP 用户密码自助更新，完全脱离邮件系统依赖，兼顾开发效率与生产可靠性。
