为何PHP 8.5.5的LDAP认证失败【认证】-php教程-PHP中文网

ldap_bind()返回false不一定是密码错误，真实原因需用ldap_errno($conn)获取错误码判断，如34（凭证错）、52（服务不可用）或81（服务器宕机）；必须显式设置ldap_opt_protocol_version=3且在bind前禁用referrals，starttls失败后须重建连接而非复用句柄。

为何php 8.5.5的ldap认证失败【认证】

ldap_bind() 返回 false 不代表密码错了，这是最常踩的坑。PHP 8.5.5 本身不改变 LDAP 协议行为，但默认配置和扩展行为在企业 AD 环境下更容易暴露问题。

ldap_bind() 返回 false 的真实原因不是密码错

你看到 ldap_bind() 返回 false，第一反应是输错密码？别急。AD 域控在连接成功但认证失败时，也返回 false，错误码却可能是 LDAP_SERVER_DOWN、LDAP_UNAVAILABLE 或 LDAP_INVALID_CREDENTIALS —— 它们表现一样，但处理方式完全不同。

必须用 ldap_errno($conn) 拿具体错误码，不能只靠布尔值判断。比如：

if (!ldap_bind($conn, $dn, $pass)) {
    $err = ldap_errno($conn);
    error_log("LDAP bind failed: $err (" . ldap_error($conn) . ")");
    // 34 → LDAP_INVALID_CREDENTIALS（真密码错）
    // 52 → LDAP_UNAVAILABLE（服务器拒绝，可能协议/权限问题）
    // 81 → LDAP_SERVER_DOWN（网络或端口不通）
}

没调 ldap_errno() 就盲改密码或重试，90% 是在浪费时间
PHP 8.5.5 对错误码返回更严格，旧代码若只判 !ldap_bind() 会漏掉关键线索

AD 必须设 LDAP_OPT_PROTOCOL_VERSION=3，否则静默失败

Windows 域控默认拒接 LDAP v2 绑定，而 PHP 的 ldap_connect() 默认协商 v2。不显式设置，ldap_bind() 就会返回 false，且 ldap_errno() 可能是 2（LDAP_PROTOCOL_ERROR）或干脆 0（看似成功实则未建立有效会话）。

正确做法：

$conn = ldap_connect("dc.example.com", 389);
ldap_set_option($conn, LDAP_OPT_PROTOCOL_VERSION, 3); // 必须在 bind 前
ldap_set_option($conn, LDAP_OPT_REFERRALS, 0);       // 防跨域跳转中断
// 再 bind

这行 ldap_set_option($conn, LDAP_OPT_PROTOCOL_VERSION, 3) 必须在 ldap_bind() 之前，且不能漏
PHP 8.5.5 不会自动降级协议，v2 请求直接被 AD 丢弃，无日志、无提示

Laravel LdapRecord 仍查数据库？auth.php provider 没切到 ldap

用 Laravel + LdapRecord 却报 Column not found，说明认证流程根本没走 LDAP，还在查本地 users 表。这不是 LDAP 配置问题，是 Laravel 认证守卫绑错了提供器。

PHP 8.5.5

PHP 8.5.5 是 PHP 8.5 分支的维护更新版本。该版本延续了“小步快跑”的迭代逻辑，通过深度错误修复、底层性能微调以及安全加固，旨在为开发者提供一个更健壮、更高效的运行环境。该版本严格遵守语义化版本规范，不包含破坏性变更。

下载

检查 config/auth.php 中的 guards.web.provider：

'guards' => [
    'web' => [
        'driver' => 'session',
        'provider' => 'ldap', // ✅ 必须是 'ldap'
        // 不是 'users' ❌
    ],
],

provider 设为 users 时，Laravel 先查数据库找用户，再尝试同步——但表里没有 mail、sAMAccountName 等 AD 字段，直接崩
设为 ldap 后，整个认证链由 LdapRecord 控制，ldap_bind() 和 ldap_search() 才真正生效
PHP 8.5.5 下，provider 错配还会触发更严格的属性校验，错误更早暴露

StartTLS 失败后不能复用连接句柄

想实现“先试 StartTLS，失败就回退明文”，但 ldap_start_tls() 返回 false 后直接 ldap_bind() 还是失败？因为 PHP 的 LDAP 连接句柄状态已被污染。

ldap_start_tls() 即使失败，也会修改底层 socket 状态，导致后续 ldap_bind() 报 Can't contact LDAP server —— 实际是连接句柄已不可用。

正确做法是：失败后销毁旧连接，重建新连接：

$conn = ldap_connect("ldap://dc.example.com");
if (ldap_start_tls($conn)) {
    // 加密成功
} else {
    // ❌ 不能继续用 $conn
    ldap_close($conn);
    // ✅ 重建干净连接
    $conn = ldap_connect("ldap://dc.example.com");
    ldap_set_option($conn, LDAP_OPT_PROTOCOL_VERSION, 3);
    ldap_set_option($conn, LDAP_OPT_REFERRALS, 0);
}
ldap_bind($conn, $dn, $pass);