Laravel LDAPRecord绑定失败：无法连接LDAP服务器求助

问题原因 #

当TLS_REQCERT设为hard时LDAP连接失败，改为never后正常，且telnet 636可连通，说明问题出在TLS证书验证环节，具体可能是以下情况：

• 证书主机名不匹配：LDAP服务器证书的CN/SAN字段与配置的LDAP_DEFAULT_HOSTS主机名不一致，严格模式下会触发验证失败
• 证书链不完整：指定的CA文件仅包含根证书，但LDAP服务器返回的证书链包含中间证书，导致客户端无法完成完整验证
• LDAP客户端未正确读取CA配置：PHP的LDAP扩展可能未加载/etc/ldap/ldap.conf的配置，或者存在优先级更高的用户级配置（如~/.ldaprc）覆盖了设置
• CA证书未被系统信任：即使指定了CA路径，部分系统仍要求CA证书导入系统级信任库才能被LDAP客户端认可

解决方案 #

1. 验证证书主机名匹配性 #

执行命令查看LDAP服务器证书的主机信息：

openssl s_client -connect your-ldap-host:636

检查输出中的Subject:和Subject Alternative Name:字段，确认与.env中LDAP_DEFAULT_HOSTS的主机名完全一致（必须用域名，不能用IP）。如果不匹配，要么修改LDAP配置使用证书中的主机名，要么联系LDAP管理员重新签发匹配的证书。

2. 补全证书链 #

导出LDAP服务器的完整证书链并合并到CA文件：

openssl s_client -connect your-ldap-host:636 -showcerts > ldap-certs.pem

打开ldap-certs.pem，将所有-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----的证书块按顺序（中间证书在前，根证书在后）复制到指定的CA证书文件中，然后重新设置TLS_REQCERT=hard测试连接。

3. 在Laravel配置中直接指定TLS参数 #

绕过系统配置文件，在config/ldap.php中直接设置SSL选项，确保PHP LDAP扩展读取正确的CA路径和验证模式：

'connections' => [
    'default' => [
        'hosts' => explode(',', env('LDAP_DEFAULT_HOSTS')),
        'use_ssl' => true,
        'ssl_options' => [
            LDAP_OPT_X_TLS_CACERTFILE => '/path/to/your/ca-cert.crt',
            LDAP_OPT_X_TLS_REQUIRE_CERT => LDAP_OPT_X_TLS_HARD,
        ],
        // 其余原有配置...
    ],
],

修改后执行php artisan config:clear清除配置缓存，再测试连接。

4. 将CA证书导入系统信任库 #

根据操作系统执行以下步骤：

• Debian/Ubuntu：

  cp /path/to/your/ca-cert.crt /usr/local/share/ca-certificates/
  update-ca-certificates
  

• RHEL/CentOS：

  cp /path/to/your/ca-cert.crt /etc/pki/ca-trust/source/anchors/
  update-ca-trust extract
  

重启PHP服务后，重新运行php artisan ldap:test验证。

内容的提问来源于stack exchange，提问作者gclark18