PHP实现mTLS对接OpenLDAP失败问题排查

1. 确认PHP-FPM进程的实际运行用户 #

CLI用root能正常连接，但PHP-FPM默认是用www-data（或nginx、php-fpm这类专用用户）运行的——哪怕证书文件权限设了755，要是上级目录没给FPM用户访问权限，照样读不了证书。

• 先查FPM运行用户：ps aux | grep php-fpm，看输出里的用户列
• 给证书文件及上级目录补全权限：
  • 证书所在目录加执行权限（让FPM用户能进入目录）：chmod +x /path/to/cert-dir/
  • 证书文件设为640，属主改为FPM用户：chown www-data:www-data /path/to/cert-dir/*

2. 检查PHP LDAP扩展的全局配置 #

别只在代码里设参数，FPM环境下LDAP扩展的全局配置可能会覆盖代码设置：

• 找到PHP-FPM对应的ldap.ini（比如/etc/php/8.2/fpm/conf.d/20-ldap.ini），添加或修改以下配置：

  ldap.tls_cacert = /path/to/ca-cert.pem
  ldap.tls_cert = /path/to/client-cert.pem
  ldap.tls_key = /path/to/client-key.pem
  ldap.tls_reqcert = demand
  

• 重启PHP-FPM生效：systemctl restart php8.2-fpm

3. 代码里明确指定TLS选项 #

代码里要显式设置TLS参数，别依赖全局配置，示例代码：

$ldapConn = ldap_connect('ldaps://your-ldap-server:636');
if (!$ldapConn) {
    die('LDAP连接失败');
}

// 强制设置LDAPv3和TLS选项
ldap_set_option($ldapConn, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldapConn, LDAP_OPT_X_TLS_CACERTFILE, '/path/to/ca-cert.pem');
ldap_set_option($ldapConn, LDAP_OPT_X_TLS_CERTFILE, '/path/to/client-cert.pem');
ldap_set_option($ldapConn, LDAP_OPT_X_TLS_KEYFILE, '/path/to/client-key.pem');
ldap_set_option($ldapConn, LDAP_OPT_X_TLS_REQUIRE_CERT, LDAP_OPT_X_TLS_DEMAND);

// 启动TLS握手
if (!ldap_start_tls($ldapConn)) {
    die("TLS启动失败: " . ldap_error($ldapConn) . " (" . ldap_errno($ldapConn) . ")");
}

// 绑定测试
if (ldap_bind($ldapConn, 'cn=admin,dc=example,dc=com', 'your-password')) {
    echo '认证成功';
} else {
    die('绑定失败: ' . ldap_error($ldapConn));
}

ldap_close($ldapConn);

4. 排查SELinux/AppArmor的权限限制 #

如果系统开了SELinux或AppArmor，可能会拦截PHP-FPM读取证书的操作：

• SELinux：临时关闭测试setenforce 0，如果能正常连接，给证书目录加正确的上下文：

  semanage fcontext -a -t httpd_sys_rw_content_t "/path/to/cert-dir(/.*)?"
  restorecon -Rv /path/to/cert-dir/
  

• AppArmor：编辑PHP-FPM的配置文件（比如/etc/apparmor.d/usr.sbin.php-fpm8.2），添加证书目录的访问权限：

  /path/to/cert-dir/** r,
  

  重启AppArmor生效：systemctl restart apparmor

5. 抓包验证TLS协商过程 #

用tcpdump抓636端口的包，确认客户端是否真的没发送证书：

• 执行抓包命令：tcpdump -i any port 636 -w ldap-tls.pcap，访问PHP页面后停止抓包，用Wireshark分析——如果是权限问题，TLS握手阶段会没有客户端证书的请求响应。

内容的提问来源于stack exchange，提问作者Balobiana