LDAP认证配置：仅允许指定3位不同组用户访问站点的实现

嘿，我看你已经搭好了LDAP登录的基础框架，现在要实现只让指定的3个用户访问站点，而且不想给他们所在的组开权限——这个需求其实很明确，核心就是在LDAP验证通过之后，把登录的用户名和你预设的白名单做对比就行。我帮你修正并完善代码，同时把关键逻辑讲清楚：

// 用更安全的方式获取POST参数（代替strip_tags和stripslashes，避免过滤不当踩坑）
$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_STRING);

// 你的LDAP配置（注意account_suffix通常要带@和完整域名，比如@yourdomain.local）
$account_suffix = '@domain.com';
$hostname = 'ldap://your-ldap-server-hostname';

// 这里放你要允许的3个AD用户名，直接填AD里的用户名就行
$allowed_users = ['zhangsan', 'lisi', 'wangwu'];

// 1. 建立LDAP连接
$con = ldap_connect($hostname);
if (!is_resource($con)) {
    trigger_error("无法连接到LDAP服务器", E_USER_ERROR);
}

// 2. 必须设置的LDAP选项，不然大概率绑定失败
ldap_set_option($con, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($con, LDAP_OPT_REFERRALS, 0);

// 3. 尝试用用户输入的账号密码绑定LDAP（验证身份）
$user_dn = $username . $account_suffix;
$bind = false;
try {
    $bind = ldap_bind($con, $user_dn, $password);
} catch (Exception $e) {
    // 捕获绑定过程中的异常
}

if ($bind) {
    // 4. LDAP验证通过后，检查用户名是否在白名单里
    // 转成小写是因为AD用户名通常不区分大小写，避免大小写不一致导致判断错误
    $lowercase_username = strtolower($username);
    $lowercase_allowed = array_map('strtolower', $allowed_users);
    
    if (in_array($lowercase_username, $lowercase_allowed)) {
        // 用户在允许列表里，执行登录成功的逻辑，比如设置session
        session_start();
        $_SESSION['logged_in'] = true;
        $_SESSION['username'] = $username;
        echo "登录成功！欢迎访问站点";
        // 这里可以跳转到你的站点首页
        // header("Location: /dashboard.php");
        // exit;
    } else {
        // 用户不在白名单，拒绝访问
        echo "抱歉，你没有权限访问该站点";
    }
    // 记得关闭LDAP连接
    ldap_unbind($con);
} else {
    // LDAP验证失败（账号或密码错了）
    echo "登录失败，请检查账号密码";
    // 要是排查问题的话，可以打开下面这句看具体错误
    // echo ldap_error($con);
}

几个需要注意的点： #

• 白名单检查的时机：一定要等LDAP验证通过之后再做检查，不然攻击者可能通过枚举白名单里的用户名来试探系统，安全性会打折扣。
• 用户名大小写问题：AD的用户名一般不区分大小写，所以统一转成小写再对比，避免因为用户输入大写字母导致的判断失误。
• LDAP配置的坑：你的$account_suffix之前只写了domain，这大概率会导致绑定失败，正常应该是@yourdomain.local或者@company.com这种完整后缀，根据你的AD域配置来填。
• 参数过滤的优化：用filter_input()替代strip_tags()和stripslashes()是因为后者在现代PHP环境里可能会破坏正常输入（比如输入里的合法斜杠），filter_input()的过滤更严谨。

如果你的AD用户名是DOMAIN\username这种格式，那你需要调整$user_dn的拼接方式，或者在白名单里也用对应的格式，确保两边对比的格式一致就行。

内容的提问来源于stack exchange，提问作者user9557556