PHP7.3连接Google安全LDAP报错Unable to start TLS如何解决

核心问题1：TLS证书配置时机与路径错误 #

你当前的证书配置存在两个明显问题：

• 全局TLS证书配置需要在ldap_connect执行前设置才会生效，你把配置放在了连接创建之后
• Windows环境下相对路径默认相对于Apache执行入口，不是当前脚本目录，大概率会找不到证书文件，必须用绝对路径

核心问题2：ldaps协议与ldap_start_tls混用 #

如果你使用ldaps://ldap.google.com:636格式创建连接，是在TCP连接建立时直接完成TLS握手，不需要再调用ldap_start_tls()，重复触发TLS初始化会直接报错。

核心问题3：Windows Xampp LDAP扩展默认配置缺失 #

Windows版Xampp的LDAP扩展默认没有配置TLS信任规则，需要额外添加ldap.conf配置文件。

修复后的代码（两种实现二选一） #

方案1：使用标准389端口 + start_tls升级 #

// 先配置全局TLS参数，再创建连接
ldap_set_option(NULL, LDAP_OPT_DEBUG_LEVEL, 7);
// 用__DIR__拼接证书绝对路径，确保能读到文件
ldap_set_option(NULL, LDAP_OPT_X_TLS_CERTFILE, __DIR__ . "/Google_xxxxx.crt");
ldap_set_option(NULL, LDAP_OPT_X_TLS_KEYFILE, __DIR__ . "/Google_xxxxx.key");

$ldap = ldap_connect('ldap.google.com', 389);
ldap_set_option($ldap, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldap, LDAP_OPT_REFERRALS, 0);

// 触发TLS升级
ldap_start_tls($ldap);

方案2：使用636端口 ldaps直连 #

ldap_set_option(NULL, LDAP_OPT_DEBUG_LEVEL, 7);
ldap_set_option(NULL, LDAP_OPT_X_TLS_CERTFILE, __DIR__ . "/Google_xxxxx.crt");
ldap_set_option(NULL, LDAP_OPT_X_TLS_KEYFILE, __DIR__ . "/Google_xxxxx.key");

// 直接用ldaps协议连接，不需要再调用ldap_start_tls
$ldap = ldap_connect('ldaps://ldap.google.com', 636);
ldap_set_option($ldap, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldap, LDAP_OPT_REFERRALS, 0);

Windows Xampp额外配置步骤 #

1. 打开Xampp安装目录下的php文件夹（默认路径为C:\xampp\php）
2. 新建名为ldap.conf的文本文件，写入以下内容：

TLS_REQCERT never
TLS_CACERT {你的Google根证书绝对路径}

如果没有根证书可以先临时把TLS_REQCERT设为allow测试，生产环境必须配置正确的根证书验证。
3. 重启Xampp的Apache服务后再测试连接。

内容的提问来源于stack exchange，提问作者Illo Inventore