LDAP其他操作正常，修改密码时出现Server is unwilling to perform错误

问题概述 #

能正常执行LDAP的用户名列表查询、用户解锁、密码验证、密码过期天数查询操作，但调用修改密码接口时返回错误：LDAP API Error: Server is unwilling to perform，对应的PHP代码如下：

public function changePassword(string $username, string $current_password, string $password): bool
{
  $result = false;

  $connection = ldap_connect('ldaps://' . self::HOST . ':' . self::PORT);
  if ($connection) {
    ldap_set_option($connection, LDAP_OPT_PROTOCOL_VERSION, 3);
    ldap_set_option($connection, LDAP_OPT_REFERRALS, 0);
    ldap_set_option(null, LDAP_OPT_DEBUG_LEVEL, 7);
    if (@ldap_bind($connection, "uid=$username,ou=people,dc=bsg.na.baesystems,dc=com", $current_password)) {
      //$userpassword = '{MD5}' . hash('md5', $password);
      $userpassword = '{sha256}' . base64_encode(hash('sha256', $password, true));
      //$userpassword = '{sha384}' . base64_encode(hash('sha384', $password, true));
      $result = @ldap_mod_replace($connection, "uid=$username,ou=people,dc=bsg.na.baesystems.com,dc=com", [
        'userpassword' => $userpassword
      ]);
    }
  }

  if (!$result)
    log_message('error', __METHOD__ . "\n" . ldap_error($connection));

  return $result;
}

核心排查点与解决方法 #

1. 用户DN（识别名）不一致 #

代码中绑定用户时使用的DN是uid=$username,ou=people,dc=bsg.na.baesystems,dc=com，但修改密码时使用的DN是uid=$username,ou=people,dc=bsg.na.baesystems.com,dc=com——两者的dc部分存在差异（前者是两级域名拆分，后者多拼接了一个.com），这会导致服务器找不到目标用户，直接拒绝操作。

解决： 统一绑定和修改操作的DN，确保完全一致。

2. 密码加密格式不匹配服务器要求 #

手动构造userpassword属性的加密格式（比如{sha256}）可能不符合LDAP服务器的配置：

• 部分LDAP服务器（如Active Directory）不支持SHA256加密，要求使用特定格式（AD需要将密码转为UTF-16LE编码的"\"密码\""格式）；
• OpenLDAP可能需要提前配置允许的密码加密方案，否则会拒绝非指定格式的密码。

解决： 使用PHP内置的ldap_passwd()函数替代手动修改userpassword，该函数会自动适配服务器要求的加密格式，无需手动处理编码和加密。

3. 密码不符合服务器策略 #

LDAP服务器通常会配置密码规则：

• 密码复杂度（长度、包含大小写/数字/特殊字符）；
• 密码历史（不能与最近N次使用的密码重复）；
• 最小修改间隔（密码修改后需等待N天才能再次修改）。
  新密码不满足这些规则时，服务器会返回"unwilling to perform"。

解决： 联系LDAP管理员确认密码策略，使用符合要求的密码测试。

4. 权限或连接配置问题 #

• 虽然当前用户能绑定成功，但可能没有修改自身密码的权限（部分LDAP配置会限制普通用户改密，需管理员权限）；
• SSL/TLS连接未正确建立，服务器禁止明文传输密码修改操作（即使使用ldaps://，也可能存在连接未加密的情况）。

解决：

• 确认用户的改密权限，必要时改用管理员账号绑定后执行操作；
• 启用ldap_start_tls()确保连接加密，避免明文传输风险。

修改后的代码示例 #

public function changePassword(string $username, string $current_password, string $password): bool
{
    $result = false;
    // 统一用户DN
    $userDn = "uid=$username,ou=people,dc=bsg.na.baesystems,dc=com";

    $connection = ldap_connect('ldaps://' . self::HOST . ':' . self::PORT);
    if ($connection) {
        ldap_set_option($connection, LDAP_OPT_PROTOCOL_VERSION, 3);
        ldap_set_option($connection, LDAP_OPT_REFERRALS, 0);
        
        // 可选：启用TLS确保连接加密（部分服务器强制要求）
        // if (!ldap_start_tls($connection)) {
        //     log_message('error', __METHOD__ . " TLS启动失败: " . ldap_error($connection));
        //     return false;
        // }

        if (@ldap_bind($connection, $userDn, $current_password)) {
            // 使用ldap_passwd专门处理密码修改，自动适配服务器要求
            $result = ldap_passwd($connection, $userDn, $current_password, $password);
        }
    }

    if (!$result) {
        $error = $connection ? ldap_error($connection) : "LDAP连接失败";
        log_message('error', __METHOD__ . "\n" . $error);
    }

    return $result;
}

额外排查建议 #

• 用ldapsearch工具测试用户DN的有效性，确认能正常查询到目标用户；
• 让LDAP管理员查看服务器日志，日志中会包含拒绝操作的具体原因（比如密码复杂度不满足、权限不足等）。

内容的提问来源于stack exchange，提问作者user4202824