MediaWiki LDAP认证失败求助：维护脚本正常但登录无效

一、LDAP认证失败排查（维护脚本成功但web登录失败） #

CLI维护脚本能正常验证LDAP连接、账号、组和用户信息，说明LDAP服务器本身的连接、账号凭证无问题，问题集中在web环境或PluggableAuth相关配置上，按以下步骤排查：

• 检查PHP web环境的会话配置
  IIS下PHP的session.save_path目录需确保IIS应用池进程（通常为IIS AppPool\你的应用池名称）具备读写权限。CLI与web的PHP配置可能不同，通过web版phpinfo()查看session.save_path值，确认目录存在且权限合规——权限不足会导致会话无法创建，进而引发PluggableAuth认证失败。

• 验证PluggableAuth主认证提供者配置
  在LocalSettings.php中确认主认证提供者类指向正确的LDAP认证逻辑：

  $wgPluggableAuth_PrimaryAuthenticationProvider = [
      'class' => 'MediaWiki\Extension\LDAPAuthentication2\PrimaryAuthenticationProvider',
      'args' => []
  ];
  

  若配置错误（如使用默认类），会导致无法调用LDAP认证流程。

• 确认LDAPAuthentication2核心配置
  检查LocalSettings.php中是否正确绑定LDAP域名的认证方式：

  $wgLDAPAuthentication2Config = [
      'LDAP' => [
          'authType' => 'bind', // 确保为bind模式，即用户用自身账号密码绑定LDAP
          'allowPasswordChange' => false, // 根据实际需求调整
      ]
  ];
  

  确保'LDAP'与ldapprovider.json中定义的域名一致。

• 查看web环境详细错误日志
  开启MediaWiki认证调试日志（$wgDebugLogGroups['authentication'] = __DIR__ . '/auth-debug.log';），同时检查IIS站点日志、PHP web错误日志，获取会话相关的具体错误信息（如session_start()失败原因）。

• 检查会话处理器配置
  确认LocalSettings.php中会话处理器为默认值：

  $wgSessionHandler = 'MediaWiki\Session\PhpSessionHandler';
  

  若修改为数据库等其他存储方式，需确保配置正确且可用。

• 清除浏览器会话缓存
  使用隐私窗口或清除浏览器Cookie后重新测试，避免旧的无效会话干扰认证流程。

• 验证扩展版本兼容性
  确认LDAP系列扩展（LDAPProvider、LDAPAuthentication2等）与PluggableAuth的版本支持MediaWiki 1.41.0及PHP 8.3.3，旧版本扩展可能存在PHP版本兼容问题。

二、LDAP vs Azure/Entra配置难度对比 #

• 传统LDAP配置
  步骤繁琐：需配置LDAP服务器地址、绑定账号、BaseDN、LDAPS证书（若启用加密），还要协调多个LDAP扩展的参数映射，同时需处理web环境权限、会话等底层问题，新手易在配置细节上出错。

• Azure/Entra（Azure AD）配置
  更适合新手：通常基于OpenID Connect/OAuth2协议，可通过AzureAD专用扩展或PluggableAuth配合OpenIDConnect扩展实现。核心步骤为：

  1. 在Azure Portal注册应用，获取客户端ID、客户端密钥、租户ID；
  2. 在MediaWiki的LocalSettings.php中配置扩展参数；
  3. 按需配置用户信息同步（可选）。
     配置逻辑清晰，依赖扩展数量少，Azure官方文档指引明确，出错时日志信息更易排查，无需处理复杂的LDAP属性映射和底层连接问题。

内容的提问来源于stack exchange，提问作者sfh1980