PHP实现LDAP用户认证时使用CN可正常登录但sAMAccountName失效问题

你当前绑定失败的核心原因是对Active Directory的DN（可分辨名称）结构认知错误：sAMAccountName是AD用户的属性字段，不属于DN的路径组成部分，不能直接作为RDN（相对可分辨名称）拼接进绑定用的完整DN中，你拼装的sAMAccountName=xxx,OU=xxx...格式的DN在AD目录中不存在，自然会触发bind错误。

你提到的「特权账号二次bind」是可行方案，另外还有更简便的UPN（用户主体名称）绑定方案，无需二次bind即可实现用户用短账号登录的需求，两种方案可选：

方案1：UPN直接绑定（优先推荐） #

AD原生支持用{sAMAccountName}@{域后缀}格式的UPN作为绑定账号，无需拼装完整DN，代码修改量极小：

<?php
// 直接拼装UPN格式账号，无需拼接DN
$ldap_user = $_POST["username"] . "@myDomain.com";
$ldap_password = $_POST["password"];

$ldap_connection = ldap_connect("myCompany.com");
ldap_set_option($ldap_connection, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldap_connection, LDAP_OPT_REFERRALS, 0);

if (ldap_bind($ldap_connection, $ldap_user, $ldap_password)) {
    echo "Anmeldung erfolgreich";
} else {
    // 生产环境可按需隐藏具体错误信息
    echo "Anmeldung fehlgeschlagen: " . ldap_error($ldap_connection);
}
ldap_unbind($ldap_connection);
?>

方案2：特权账号二次绑定 #

如果你的AD环境禁用了UPN登录，可以采用该方案：

• 第一步：使用仅拥有用户目录查询权限的低权限特权账号完成首次绑定
• 第二步：以用户提交的账号为sAMAccountName筛选条件执行LDAP查询，获取匹配用户的真实完整DN
• 第三步：用查询到的用户DN和用户提交的密码执行二次绑定，绑定成功即判定登录有效

实现代码参考：

<?php
$input_username = $_POST["username"];
$input_password = $_POST["password"];
$ldap_base_dn = "OU=User of myCompany,OU=myCompany,DC=myDomain,DC=com";
// 特权账号信息建议存放在独立配置文件中，禁止硬编码在业务代码里
$privileged_dn = "cn=ldap查询专用账号,OU=服务账号OU,DC=myDomain,DC=com";
$privileged_pwd = "查询账号对应密码";

$ldap_connection = ldap_connect("myCompany.com");
ldap_set_option($ldap_connection, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldap_connection, LDAP_OPT_REFERRALS, 0);

// 首次绑定特权账号
if (!ldap_bind($ldap_connection, $privileged_dn, $privileged_pwd)) {
    echo "系统内部错误，请稍后重试";
    ldap_unbind($ldap_connection);
    exit;
}

// 转义用户输入避免LDAP注入
$escaped_username = ldap_escape($input_username, '', LDAP_ESCAPE_FILTER);
$search_filter = "(sAMAccountName={$escaped_username})";
$search_result = ldap_search($ldap_connection, $ldap_base_dn, $search_filter, ['dn']);
$entries = ldap_get_entries($ldap_connection, $search_result);

// 仅查询到唯一用户时才执行后续验证
if ($entries['count'] !== 1) {
    echo "Anmeldung fehlgeschlagen";
    ldap_unbind($ldap_connection);
    exit;
}

$user_real_dn = $entries[0]['dn'];
// 二次绑定验证用户密码
if (ldap_bind($ldap_connection, $user_real_dn, $input_password)) {
    echo "Anmeldung erfolgreich";
} else {
    echo "Anmeldung fehlgeschlagen";
}
ldap_unbind($ldap_connection);
?>

• 无论使用哪种方案，都需要对用户输入的用户名做LDAP转义处理，避免LDAP注入攻击
• 二次绑定使用的特权账号需做最小权限控制，仅开放指定OU下的用户属性查询权限即可，不要分配更高权限
• 生产环境所有敏感账号信息不要硬编码在代码中，需存放在不可被web直接访问的独立配置文件内

内容的提问来源于stack exchange，提问作者ICoded