Symfony 4内置模块LDAP认证配置问题求助

我来帮你梳理下这个LDAP认证的问题，结合你给出的配置和错误信息，咱们一步步排查：

核心错误分析 #

你遇到的两个关键错误指向了LDAP连接的加密环节：

• 使用TLS时：Warning: ldap_start_tls(): Unable to start TLS: Connect error
• 切换SSL后：ldap_bind(): Unable to bind to server: Can't contact LDAP server

虽然原生ldap_connect()能连通服务器，但Symfony的LDAP适配器封装了额外的配置逻辑，咱们从以下方向逐一验证：

1. 修正TLS/SSL的端口与加密配置 #

• TLS模式：默认用389端口，但PHP LDAP扩展可能因证书信任问题无法建立TLS连接。你可以临时关闭证书验证（仅测试用，生产环境务必配置CA证书）：
  修改config/services.yaml的Adapter配置，添加tls_reqcert选项：

  Symfony\Component\Ldap\Adapter\ExtLdap\Adapter:
      arguments:
          - host: ######
            port: 389
            encryption: tls
            options:
                protocol_version: 3
                referrals: false
                tls_reqcert: 'never' # 临时测试用，生产需改为demand并配置tls_cacert_file
  

• SSL模式：SSL默认使用636端口，之前切换SSL时如果没同步改端口，会直接导致连接失败。调整配置如下：

  Symfony\Component\Ldap\Adapter\ExtLdap\Adapter:
      arguments:
          - host: ######
            port: 636 # SSL标准端口
            encryption: ssl
            options:
                protocol_version: 3
                referrals: false
  

2. 修正dn_string的绑定格式 #

你的security.yaml中http_basic_ldap的dn_string设为{username}，这在Active Directory环境下通常不生效——AD需要完整的用户DN或UPN格式才能绑定。你可以尝试两种方案：

• 方案一：指定完整DN模板

  firewalls:
      main:
          anonymous: false
          http_basic_ldap:
              provider: app_users
              service: Symfony\Component\Ldap\Ldap
              dn_string: 'sAMAccountName={username},DC=company,DC=com'
  

• 方案二：让Symfony自动查找用户DN（推荐）
  既然你已经配置了带search_dn和search_password的app_users provider，可以直接去掉dn_string，Symfony会先通过搜索账号找到用户完整DN，再用用户输入的密码绑定。

3. 用命令行工具验证LDAP参数正确性 #

用ldapsearch工具绕过Symfony封装，直接测试LDAP连接和搜索权限：

# 测试TLS连接并搜索用户
ldapsearch -x -H ldap://your-ldap-host:389 -ZZ -D "CN=######,DC=company,DC=com" -w "#######" -b "DC=company,DC=com" "(sAMAccountName=你的测试用户名)"

# 测试SSL连接并搜索用户
ldapsearch -x -H ldaps://your-ldap-host:636 -D "CN=######,DC=company,DC=com" -w "#######" -b "DC=company,DC=com" "(sAMAccountName=你的测试用户名)"

如果命令能返回用户信息，说明LDAP服务器、搜索账号、base_dn都是正确的，问题出在Symfony配置或PHP扩展上。

4. 开启PHP LDAP调试日志 #

开启详细的LDAP日志，能帮你定位连接过程中的具体错误：
在php.ini中添加或修改：

ldap.debug_level = 7

重启Web服务器后，查看PHP错误日志，会输出LDAP连接的每一步细节，比如证书验证失败、协议版本不兼容等。

5. 确认Symfony版本配置兼容性 #

你提到资料多针对Symfony 2.8，要确保当前版本的配置格式正确：

• 检查security.yaml中http_basic_ldap的配置项是否符合当前Symfony版本要求（比如Symfony 4+的配置格式是否和你写的一致）
• 确认Symfony\Component\Ldap\Ldap服务是否正确注入，有没有拼写错误

内容的提问来源于stack exchange，提问作者Alexandre Massiot