TP5.1 项目如何接入 LDAP？企业内部统一身份认证实战【办公】-ThinkPHP-PHP中文网

tp5.1默认auth无法对接ldap，因其设计依赖数据库查询用户数据并明文比对密码，而ldap用户不在本地mysql中、密码不可逆，硬同步会破坏单点登录且引发权限失效。

tp5.1 项目如何接入 ldap？企业内部统一身份认证实战【办公】

TP5.1 项目直接集成 LDAP 认证，必须绕过框架默认的数据库用户模型，改用 ldap_bind 做实时凭证校验——不能依赖 Auth 类的数据库查询逻辑，否则永远登不进 AD 用户。

为什么 TP5.1 默认 Auth 无法对接 LDAP

ThinkPHP 5.1 的 Auth 类设计初衷是查本地数据库表（如 think_auth_rule），它会调用 db()->where(...)->find() 获取用户数据，再比对密码。但 LDAP 用户根本不在你的 MySQL 里，密码也不可逆、不可明文比对。硬把 LDAP 用户写进数据库同步，既破坏单点登录一致性，又引入冗余和延迟。

常见错误现象：用户名正确、密码正确，但 login() 返回 false；或登录成功后 session('user') 为空；或能登录但权限控制失效。

根本原因：没切断 Auth 的数据库依赖，仍试图从 think_member 表查 AD 用户
更隐蔽的问题：即使你伪造一条数据库记录，Auth::check() 仍会因缺少 auth_group_access 关联而判定无权限
TP5.1 没内置 LDAP 支持，所有认证流程需手动接管

手动实现 LDAP 登录验证（核心三步）

跳过 Auth，在控制器中用原生 PHP ldap_connect + ldap_bind 完成“搜索 DN → 绑定校验”两阶段认证。这是企业 AD 环境最稳定的做法。

示例代码片段（放在 app/controller/Login.php 中）：

ThinkPHP5.1企业站点快速开发-源码课件

ThinkPHP5.1企业站点快速开发

下载

// 1. 连接 LDAP 服务器
$ldap_conn = ldap_connect('ldap://ad.example.com', 389);
if (!$ldap_conn) {
    $this->error('LDAP 服务器连接失败');
}
ldap_set_option($ldap_conn, LDAP_OPT_PROTOCOL_VERSION, LDAP_VERSION_3);

// 2. 先用管理员账号绑定（用于搜索）
$admin_dn = 'cn=admin,dc=example,dc=com';
$admin_pass = 'your_admin_password';
if (!ldap_bind($ldap_conn, $admin_dn, $admin_pass)) {
    $this->error('LDAP 管理员绑定失败');
}

// 3. 根据用户名搜索对应 DN（注意：AD 通常用 sAMAccountName，非 uid）
$search = ldap_search($ldap_conn, 'dc=example,dc=com', '(sAMAccountName='.$username.')');
$entries = ldap_get_entries($ldap_conn, $search);
if ($entries['count'] !== 1) {
    $this->error('用户不存在或匹配多个');
}
$user_dn = $entries[0]['dn'];

// 4. 用该 DN 和用户密码再次 bind（这才是真正的身份校验）
if (!ldap_bind($ldap_conn, $user_dn, $password)) {
    $this->error('用户名或密码错误');
}

// 5. 校验通过，写入 session（注意：不要写 password 字段）
session('ldap_user', [
    'username' => $username,
    'fullname' => $entries[0]['displayname'][0] ?? $username,
    'email'    => $entries[0]['mail'][0] ?? '',
]);
$this->success('登录成功', url('index/index'));

关键点：sAMAccountName 是 AD 默认登录名字段，不是 uid；若用 OpenLDAP 则可能为 uid，需按实际 schema 调整 filter
务必设置 LDAP_OPT_PROTOCOL_VERSION 为 3，否则 Windows AD 会拒绝连接
不要在 session 中存密码，也不要调用 Auth::login() —— 它会触发 DB 查询
如果 AD 启用了 SSL（端口 636），则 ldap_connect() 参数应为 'ldaps://ad.example.com'，且需确保 PHP 启用 openssl 扩展

登录后如何做权限控制（替代 Auth）

LDAP 本身不提供 RBAC 权限数据，TP5.1 的 Auth 规则表也管不了 AD 用户。必须自己建映射关系，且只查一次、缓存住。

推荐做法：在用户首次登录成功后，根据其所属 AD 组（如 memberOf 属性）映射到本地权限组 ID，存入 think_ldap_group_map 表或 Redis 缓存：

// 登录成功后追加这段
$groups = $entries[0]['memberof'] ?? [];
$role_ids = [];
foreach ($groups as $group_dn) {
    // 提取 CN，例如 "CN=IT-Admins,CN=Groups,DC=example,DC=com" → "IT-Admins"
    if (preg_match('/CN=([^,]+)/i', $group_dn, $m)) {
        $role_id = db('auth_group')->where('title', $m[1])->value('id');
        if ($role_id) $role_ids[] = $role_id;
    }
}
session('role_ids', array_unique($role_ids));

后续权限判断直接读 session('role_ids')，避免每次请求都查 LDAP
前端菜单/按钮级控制，可用 in_array($rule_id, session('role_ids')) 简单判断
若需动态刷新权限（如 AD 组变更），加个后台“同步 LDAP 组”按钮，重新跑一遍映射逻辑即可
切勿在中间件里反复调用 ldap_search —— 性能灾难，且容易触发 AD 锁定策略

SSL/TLS 和超时问题最容易被忽略

生产环境启用 LDAPS 或 STARTTLS 后，PHP 默认不校验证书，但 AD 往往强制校验；不处理会导致 ldap_bind(): Can't contact LDAP server 或静默失败。

解决 LDAPS 连接失败：在 ldap_connect() 前加 putenv('LDAPTLS_REQCERT=never');（仅测试环境），生产环境应部署 CA 证书并设置 LDAPTLS_CACERT=/path/to/ca.crt
STARTTLS 方式（端口 389）需在管理员 bind 后立即调用 ldap_start_tls($ldap_conn)，否则后续 bind 会降级为明文
LDAP 查询默认无超时，网络抖动时整个页面卡死。务必设置：ldap_set_option($ldap_conn, LDAP_OPT_NETWORK_TIMEOUT, 5);
AD 默认限制每分钟搜索次数（如 300 次），高频并发登录需加 Redis 限流，或在负载层前置统一认证网关（如 Keycloak）

真正难的不是连上 LDAP，而是让 TP5.1 放弃它习惯的“查库→比密→赋权”路径，转而接受“远程校验→本地映射→缓存决策”这套新链路。任何试图复用 Auth 类又强行注入 LDAP 数据的方案，都会在权限继承、token 刷新、登出清理等环节暴露裂痕。