PHP连接LDAP时无用户名/虚构用户均可通过验证的异常问题

问题现象 #

代码可正常运行，但存在以下异常：

• 不填写任何信息提交时，能通过LDAP验证
• 使用虚构用户名提交时，也能通过LDAP验证
• 仅当密码输入错误时，绑定失败并提示 ldap_bind(): Unable to bind to server:

原代码 #

<?php
// using ldap bind
if(isset($_POST['enviar'])){
    if(isset($_POST['usuario'])){
    $ldaprdn  = $_POST['usuario'].'@domain.local'; // ldap rdn or dn
    }
    if(isset($_POST['contraseña'])){
    $ldappass = $_POST['contraseña'];  // associated password
    }

    // connect to ldap server
    $ldapconn = ldap_connect("ldap://server")
        or die("No es posible conectarse con el servidor.");

    if ($ldapconn) {

        // binding to ldap server
        $ldapbind = ldap_bind($ldapconn, $ldaprdn, $ldappass);

        // verify binding
        if ($ldapbind) {
            echo "Conexión correcta.";
        } else {
            echo "<fieldset name='Fallo'>";
                echo "FALLO: Usuario y/o contraseña incorrecta.";
            echo "</fieldset>";
        }

    }
}
?>

<!-- HTML部分 -->
<form action="<?php echo $_SERVER["PHP_SELF"];?>" method="POST">
    <p>
        USUARIO: <input type="text" name="usuario" id="usuario"/>
    </p>
    <p>
        CONTRASEÑA: <input type="password" name="contraseña" id="contraseña"/>
    </p>
    <p>
        <input type="submit" name="enviar" id="enviar"/>
    </p>
</form>
</fieldset>
</body>
</html>

问题原因 #

1. 缺少输入校验：未检查usuario和contraseña是否为空，当输入为空时，$ldaprdn变为@domain.local，$ldappass为空值，部分LDAP服务器允许匿名绑定或空DN绑定，导致验证通过。
2. LDAP绑定逻辑缺陷：ldap_bind函数在未传入有效DN和密码时，会默认尝试匿名绑定，这是空输入或虚构用户能通过验证的核心原因。
3. 未设置LDAP协议版本：未指定LDAP协议版本（如LDAPv3），可能导致与服务器兼容性问题，影响绑定逻辑。

修复后的代码 #

<?php
if(isset($_POST['enviar'])){
    // 输入非空校验
    $errors = [];
    if(empty(trim($_POST['usuario']))){
        $errors[] = "Usuario no puede estar vacío";
    }
    if(empty(trim($_POST['contraseña']))){
        $errors[] = "Contraseña no puede estar vacía";
    }

    if(empty($errors)){
        $ldaprdn = trim($_POST['usuario']) . '@domain.local';
        $ldappass = trim($_POST['contraseña']);

        // 连接LDAP服务器
        $ldapconn = ldap_connect("ldap://server") or die("No es posible conectarse con el servidor.");
        
        if($ldapconn){
            // 设置LDAP协议版本为3（必须）
            ldap_set_option($ldapconn, LDAP_OPT_PROTOCOL_VERSION, 3);
            // 关闭自动匿名绑定相关的引用跳转
            ldap_set_option($ldapconn, LDAP_OPT_REFERRALS, 0);

            // 尝试绑定，@符号抑制默认错误输出
            $ldapbind = @ldap_bind($ldapconn, $ldaprdn, $ldappass);

            if($ldapbind){
                // 校验是否为匿名绑定，拒绝此类登录
                $is_anonymous = empty($ldaprdn) || empty($ldappass);
                if(!$is_anonymous){
                    echo "Conexión correcta.";
                }else{
                    echo "<fieldset name='Fallo'><p>FALLO: No se permite acceso anónimo.</p></fieldset>";
                }
            }else{
                // 获取具体错误信息辅助排查
                $error_detail = ldap_error($ldapconn);
                echo "<fieldset name='Fallo'>";
                echo "FALLO: Usuario y/o contraseña incorrecta. Detalle: {$error_detail}";
                echo "</fieldset>";
            }

            // 关闭LDAP连接
            ldap_close($ldapconn);
        }
    }else{
        // 显示输入错误提示
        echo "<fieldset name='Fallo'>";
        foreach($errors as $error){
            echo "<p>{$error}</p>";
        }
        echo "</fieldset>";
    }
}
?>

<!-- HTML部分 -->
<form action="<?php echo $_SERVER["PHP_SELF"];?>" method="POST">
    <p>
        USUARIO: <input type="text" name="usuario" id="usuario" value="<?php echo isset($_POST['usuario']) ? htmlspecialchars($_POST['usuario']) : ''; ?>"/>
    </p>
    <p>
        CONTRASEÑA: <input type="password" name="contraseña" id="contraseña"/>
    </p>
    <p>
        <input type="submit" name="enviar" id="enviar"/>
    </p>
</form>
</fieldset>
</body>
</html>

修复说明 #

• 输入校验：确保用户名和密码不为空，避免空值传入LDAP绑定流程。
• 协议版本设置：强制使用LDAPv3，解决绝大多数服务器兼容性问题。
• 匿名绑定拦截：即使服务器允许匿名绑定，也主动拒绝此类登录请求。
• 错误信息优化：通过ldap_error获取详细错误，便于后续排查问题。
• 输入回显优化：保留用户输入的用户名，提升交互体验。

内容的提问来源于stack exchange，提问作者nandez