beego 默认不内置 ldap 支持，因其定位为轻量级 web 框架，认证体系仅预置数据库/session 校验，未封装 ldap 协议；需手动集成 github.com/go-ldap/ldap/v3 客户端，显式处理连接、绑定、搜索等全流程。
Beego 默认不内置 LDAP 支持，直接用 beego 做 LDAP 认证必须手动集成原生 Go LDAP 客户端，不能靠框架自动装配。
为什么 Beego 没有开箱即用的 LDAP 模块
Beego 的认证体系（auth 模块）只预置了基于数据库或 Session 的简单校验逻辑，不包含任何 LDAP 协议封装。它不像 Spring Boot 那样通过 spring-boot-starter-data-ldap 提供自动配置能力。
- Beego 本身定位是轻量级 Web 框架，身份认证交由开发者按需选型
- LDAP 连接、绑定、搜索、属性映射等步骤都需要显式调用
gopkg.in/ldap.v3或github.com/go-ldap/ldap/v3 - 没有
@Value或application.yaml风格的配置注入机制，所有参数得自己读取并传入客户端
用 github.com/go-ldap/ldap/v3 连接域控服务器
这是当前最稳定的 Go LDAP 客户端，支持 TLS、Simple Bind、Search 等核心操作。注意：不要用已归档的 gopkg.in/ldap.v3，它不维护且不兼容 Go 1.20+。
- 连接前务必确认域控地址是否启用 LDAPS（端口 636）或 STARTTLS（端口 389），否则
ldap.DialURL会失败 - 若用自签名证书，需设置
ldap.DefaultTimeout = 5 * time.Second并在ldap.DialURL后调用conn.SetTLSConfig(&tls.Config{InsecureSkipVerify: true}) - 绑定账号推荐用完整 DN，例如
CN=OA-App,CN=Users,DC=corp,DC=example,DC=com，而非仅用户名 - 搜索用户时，
user-search-filter类似(sAMAccountName={0})，但 Go 中需用fmt.Sprintf拼接，不能靠框架解析占位符
conn, err := ldap.DialURL("ldaps://dc.corp.example.com:636")
if err != nil {
return err
}
defer conn.Close()
<p>err = conn.Bind("CN=OA-App,CN=Users,DC=corp,DC=example,DC=com", "app-secret")
if err != nil {
return err
}</p><p>searchRequest := ldap.NewSearchRequest(
"DC=corp,DC=example,DC=com",
ldap.ScopeWholeSubtree, ldap.DerefAlways, 0, 0, false,
"(sAMAccountName=john.doe)",
[]string{"displayName", "mail", "memberOf"},
nil,
)
sr, err := conn.Search(searchRequest)
</p>
在 Beego Controller 中做 LDAP 登录校验
不要把 LDAP 连接逻辑写进 Controller 方法体——每次请求都新建连接会快速耗尽 socket 资源。应提前初始化一个全局 *ldap.Conn 或封装成单例服务。
- 在
main.go初始化阶段建立连接并复用，用sync.Once保证只连一次 - 用户密码验证必须走 Bind，而不是先 Search 再比对密码字段（AD 不暴露明文密码）
- 搜索到用户后，用其 DN + 输入密码再 Bind 一次，这才是标准流程：
conn.Bind(userDN, inputPassword) - 若需同步用户属性（如部门、邮箱），应在 Bind 成功后立即用该用户 DN 发起第二次 Search，避免权限不足导致字段为空
容易忽略的域控兼容性细节
不同 AD 版本或非 Microsoft LDAP 服务（如 OpenLDAP、389 Directory Server）在属性名、DN 格式、分页限制上差异很大，硬编码会翻车。
-
sAMAccountName是 Windows AD 特有，OpenLDAP 常用uid；搜索 Base 应从配置读取，别写死DC=corp,DC=example,DC=com - 某些 AD 默认禁用匿名 Bind，必须提供 Manager 账号才能 Search；而有些又禁止非 SSL 绑定，强制走 LDAPS 或 STARTTLS
- 超过 1000 条结果时，AD 会截断返回（size limit exceeded），需启用分页控件（
ldap.WithPaging）或调整域控策略 - 中文 OU 名称在 URL 编码后可能出错，建议统一用英文命名路径，或用
url.PathEscape处理
LDAP 不是“配个 URL 和账号就能跑”的黑盒，每个公司域控的实际策略都得单独适配。哪怕用了完全相同的代码，换个环境也可能卡在 Bind 失败或 Search 无结果——先用 ldapsearch 命令行手动验证通路，再写 Go 逻辑。
