iOS应用LDAP连接正常，LDAPS认证失败求助（含代码与报错）

从你给出的报错信息ssl/tls: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed (unable to get local issuer certificate)来看，核心问题是SSL层无法找到服务器证书对应的本地颁发者证书，导致验证失败。下面是几个针对性的解决方案：

1. 确认CA证书的完整性与路径正确性 #

• 先检查你指定的caFile路径是否有效：iOS应用有沙箱限制，你需要确保证书文件已经正确打包到应用bundle中，或者存放在沙箱可访问的路径下。可以用NSFileManager的fileExistsAtPath:方法验证文件是否存在。
• 确保你的CA证书是完整的信任链：如果LDAP服务器的证书是由中间CA签发的，只放根CA证书可能不够，需要把根CA和中间CA的证书合并到同一个.pem文件中（按顺序粘贴即可），再指定这个文件作为caFile。

2. 调整TLS选项的设置时机 #

你当前在ldap_initialize前设置全局TLS选项的方式可能存在问题，建议针对单个LDAP连接设置TLS参数，修改后的代码如下：

LDAP *ld;
char *ldapuri = /* 你的ldaps://地址 */;
const char *caFile = /* 正确的证书文件路径 */;

// 先初始化LDAP连接
int rc = ldap_initialize(&ld, ldapuri);
if (rc != LDAP_SUCCESS) {
    // 处理初始化失败逻辑
    return;
}

// 针对当前连接设置CA证书文件
int err = ldap_set_option(ld, LDAP_OPT_X_TLS_CACERTFILE, (void *)caFile);
if (err != LDAP_OPT_SUCCESS) {
    // 处理选项设置失败
    ldap_unbind_ext_s(ld, NULL, NULL);
    return;
}

// 设置协议版本
int version = LDAP_VERSION3;
ldap_set_option(ld, LDAP_OPT_PROTOCOL_VERSION, &version);

// 尝试启动TLS（注意：如果用的是ldaps://协议，有些库会自动启用TLS，可尝试跳过这一步直接bind）
rc = ldap_start_tls_s(ld, NULL, NULL);
if (rc == LDAP_SUCCESS) {
    // 执行bind操作
    rc = ldap_simple_bind_s(ld, binddn, password);
}

另外，ldaps://协议默认使用636端口并自动启用SSL/TLS，你可以尝试直接去掉ldap_start_tls_s调用，直接执行ldap_simple_bind_s，看是否能成功。

3. 调试模式临时禁用证书验证（生产环境禁止） #

如果只是想快速排查是否是证书问题导致的连接失败，可以临时禁用证书验证（仅用于调试，生产环境绝对不能这么做，会带来安全风险）：

// 在设置CA证书之后添加以下代码
int tlsVerifyMode = LDAP_OPT_X_TLS_NEVER;
ldap_set_option(ld, LDAP_OPT_X_TLS_REQUIRE_CERT, &tlsVerifyMode);

如果这样能成功连接，就可以确认是证书信任链的问题，回到第一步完善证书配置即可。

4. 检查iOS ATS设置 #

iOS的App Transport Security（ATS）可能会拦截未通过安全验证的LDAPS连接。如果你的LDAP服务器使用的是自签名证书或不符合ATS标准的证书，需要在Info.plist中添加例外配置：

<key>NSAppTransportSecurity</key>
<dict>
    <key>NSExceptionDomains</key>
    <dict>
        <key>你的LDAP服务器域名</key>
        <dict>
            <key>NSIncludesSubdomains</key>
            <true/>
            <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
            <true/>
            <key>NSTemporaryExceptionMinimumTLSVersion</key>
            <string>TLSv1.2</string>
        </dict>
    </dict>
</dict>

注意：企业级应用建议使用合法的、受信任的CA签发的证书，尽量避免依赖ATS例外。

内容的提问来源于stack exchange，提问作者Babac