PHP创建的Active Directory用户无法认证问题求助

针对你遇到的「AD手动创建用户可正常认证，PHP创建用户报Invalid credentials」问题，可从以下几个方向排查：

1. 密码策略匹配问题 #

Windows Server 2008 R2的AD默认启用密码复杂度策略（比如长度≥8、包含大小写/数字/特殊字符）。如果PHP创建用户时设置的密码不符合策略，即便账户创建成功，实际密码会被AD拒绝，导致认证失败。

• 解决：
  • 打开AD组策略编辑器，检查「计算机配置→Windows设置→安全设置→账户策略→密码策略」的具体要求；
  • 手动重置PHP创建用户的密码为符合策略的内容，再测试认证；
  • 调整PHP创建用户的代码，确保生成/设置的密码满足AD复杂度要求。

2. 用户DN有效性验证 #

虽然ldap_search能找到用户，但返回的$entries[0]["dn"]可能存在格式问题，或PHP创建用户时的OU路径与手动用户不一致，导致绑定失败。

• 解决：
  • 在代码中添加echo $user_dn;，将其与手动创建用户的DN（可从ADUC中查看）对比，确认路径完全一致；
  • 若路径不同，检查$searchdn是否包含PHP创建用户所在的OU，或直接使用手动获取的正确DN测试绑定。

3. LDAP连接加密要求 #

Windows Server 2008 R2的AD可能强制要求加密连接（LDAPS或STARTTLS），未加密的绑定请求会被拒绝，尤其是密码含特殊字符时。

• 解决：
  • 在ldap_bind前启用TLS加密：

    if (!ldap_start_tls($ldap_con)) {
        die("TLS启用失败: " . ldap_error($ldap_con));
    }
    

  • 或改用LDAPS端口（636）建立连接：ldap_connect("ldaps://your-ad-server:636")，确保AD服务器已配置有效SSL证书。

4. 用户账户状态检查 #

除了「首次登录必须修改密码」，还有其他状态会导致账户无法认证：

• 账户被锁定（多次错误登录尝试）；
• 账户已过期；
• 账户被禁用。
• 解决：
  • 打开ADUC，找到PHP创建的用户，查看「账户」选项卡：确认账户处于启用状态，未过期，未被锁定；
  • 对比手动创建用户的所有账户设置，确保PHP创建的用户属性完全一致。

5. PHP创建用户时的属性配置错误 #

AD用户需要正确的userAccountControl属性值才能正常登录，若PHP创建时该属性设置错误，会导致认证失败。

• 解决：
  • 检查PHP创建用户的代码，确保userAccountControl设置为启用且无需强制改密码的数值（512）：

    $user_attrs = array(
        "sAMAccountName" => $username,
        "userPrincipalName" => $username . "@your-domain.com",
        "userAccountControl" => "512",
        // 其他必填属性...
    );
    ldap_add($ldap_con, $user_dn, $user_attrs);
    

  • 确保已设置sAMAccountName、userPrincipalName等核心属性，且格式符合AD要求。

调试建议 #

• 在代码中打印输入的$mdp，确认密码未被转义或截断；
• 使用AD自带的ldp.exe工具，手动测试PHP创建用户的DN和密码绑定，排除代码逻辑问题；
• 启用LDAP错误日志，查看更详细的失败原因：echo ldap_error($ldap_con);在ldap_bind失败后输出。

内容的提问来源于stack exchange，提问作者Bibi