MySQL社区版不支持原生LDAP认证，仅企业版提供authentication_ldap_sasl插件（需8.0.28+），且依赖SASL、OpenLDAP等条件；社区版可行方案为PAM代理或ProxySQL/同步脚本方式。
MySQL 本身不支持直接通过 LDAP（如 Active Directory）做用户密码校验登录，社区版没有内置 LDAP 认证插件；企业版虽提供 authentication_ldap_sasl，但依赖特定部署条件，且不能替代 MySQL 原生权限模型。强行“集成 LDAP 登录”容易陷入权限失控或认证绕过风险。
MySQL 社区版无法直接启用 LDAP 插件
社区版 MySQL 缺少 authentication_ldap_simple 或 authentication_ldap_sasl 插件，执行 INSTALL PLUGIN authentication_ldap_sasl SONAME 'auth_socket.so' 会报错 ERROR 1126 (HY000): Can't open shared library 'auth_socket.so'... ——这不是路径问题，而是根本未编译进二进制。官方文档明确说明该插件仅限 MySQL Enterprise Edition。
常见误操作包括：
- 下载第三方编译的 .so 文件强行 INSTALL，导致 mysqld 启动失败或崩溃
- 混淆 PAM 认证与 LDAP：PAM 是系统级中介，需额外配置
pam_ldap.so和/etc/pam.d/mysqld，但仅适用于本地 socket 连接，对 TCP 远程连接无效 - 以为启用
validate_password插件就能对接 LDAP 密码策略 —— 它只校验本地密码强度，不触达 LDAP
可行路径只有代理层或同步层
真正落地的方案只有两类，没有第三种“原生集成”：
-
代理层方案：用
mysql-proxy或ProxySQL拦截客户端 AUTH 包，调用 LDAP bind 验证，再按结果放行或拒绝。需自行编写 Lua 脚本（proxy）或配置 query rules（ProxySQL），且无法透传 LDAP 用户名到 MySQL 内部，所有连接最终都映射为一个预设的 MySQL 账户（如ldap_proxy@'%'），权限全靠这个账户的 GRANT 控制 - 同步层方案：定时从 LDAP/AD 拉取用户列表（如用
ldapsearch+mysql -e "CREATE USER ..."），并同步密码哈希（仅限 AD 支持 NTLM/LDAP-SASL 的场景）。缺点是密码变更延迟、无法实时反映禁用状态、且需额外维护同步脚本和失败告警
例如一个最小化同步脚本逻辑：
ldapsearch -x -H ldaps://ad.example.com -D "cn=admin,dc=example,dc=com" -w 'xxx' \
-b "ou=MySQLUsers,dc=example,dc=com" "(objectClass=person)" uid userPassword | \
awk '/^uid:/ {u=$2} /^userPassword:/ {p=$2; print "CREATE USER \x27" u "\x27@\x27%\x27 IDENTIFIED WITH mysql_native_password AS \x27" p "\x27;"}' | \
mysql -u root -p -e "SET sql_log_bin=0;"
注意：userPassword 在 AD 中默认不可读，需开启 LDAP_MATCHING_RULE_IN_CHAIN 或改用 service account 绑定并申请特殊权限。
orchestrator 等管理平台的 LDAP 是另一层逻辑
像 orchestrator 这类运维平台支持 LDAP，是因为它自身实现了 HTTP 层认证，和 MySQL 底层无关。它的配置项如 "AuthenticationMethod": "proxy" 和 "AuthUserHeader": "X-Forwarded-User" 只影响 orchestrator 自己的登录页，不会让 mysql -h orchestrator-host -u anyuser 就能连上后端 MySQL 实例。别把平台层认证和数据库协议层认证混为一谈。
如果你看到“MySQL + LDAP”成功案例，90% 是以下组合之一：
- MySQL（任意版本） + ProxySQL（启用了 LDAP 查询模块） + OpenLDAP（作为验证源）
- MySQL（企业版） +
authentication_ldap_sasl+ Microsoft AD（必须开启 Global Catalog、LDAPS、SASL GSSAPI） - MySQL（社区版） + PAM +
pam_ldap.so+ nslcd（仅限 Unix socket 本地登录，mysql -S /var/run/mysqld/mysqld.sock -u someone）
最常被忽略的一点：即使 LDAP 认证走通了，MySQL 内部的 GRANT 权限体系仍完全独立。LDAP 用户 “alice” 成功登录后，实际生效的是 MySQL 里名为 alice@'%' 的那个账户所拥有的权限 —— 如果没提前 CREATE USER 并 GRANT，登录成功也查不了任何表。这和 Linux 系统用 LDAP 登录后自动创建 home 目录完全不同。
