使用可扩展匹配过滤器时PHP ldap_search报协议错误求助

根据你描述的情况——命令行ldapsearch能用可扩展匹配过滤器正常查询，但PHP的ldap_search却报协议错误，结合你的环境信息（PHP7.0.28、OpenLDAP客户端2.4.42、389 Directory服务器1.2.11.15），我整理了几个针对性的解决思路：

1. 修正过滤器的格式错误 #

你PHP代码里写的过滤器是：

$filter = "(&(whatever=*)(uid=something)(!(ou:dn:=other)))";

这里的&是HTML实体转义后的符号，但LDAP过滤器语法要求直接使用&作为逻辑与操作符。命令行工具不会做这种转义，所以能正常运行，而PHP里的这个错误格式会被LDAP服务器判定为非法请求，触发协议错误。

修正后的过滤器应该是：

$filter = "(&(whatever=*)(uid=something)(!(ou:dn:=other)))";

这是最可能解决问题的步骤，建议先尝试这个修改。

2. 确保LDAP协议版本设置的顺序正确 #

你尝试设置了LDAP_OPT_PROTOCOL_VERSION，但要注意设置必须在ldap_connect之后、ldap_bind之前，否则设置不会生效。正确的代码顺序应该是：

$conn = ldap_connect(SERVER, PORT);
// 先设置协议版本（优先用LDAPv3，389 Directory完全支持）
ldap_set_option($conn, LDAP_OPT_PROTOCOL_VERSION, 3);
// 再执行绑定操作
ldap_bind($conn, LDAP_USER, LDAP_PW);

如果之前是先绑定再设置版本，那等于没生效，这也可能导致协议兼容问题。

3. 开启LDAP调试日志定位细节 #

可以给PHP的LDAP连接开启调试模式，查看具体的协议交互内容，对比命令行的请求差异：

$conn = ldap_connect(SERVER, PORT);
ldap_set_option($conn, LDAP_OPT_DEBUG_LEVEL, 7); // 开启最高级调试日志
ldap_set_option($conn, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_bind($conn, LDAP_USER, LDAP_PW);
// 后续的搜索代码...

同时用命令行工具开启调试：

ldapsearch -d 7 -x -h SERVER -p PORT -D LDAP_USER -w LDAP_PW -b BASE_DN "(&(whatever=*)(uid=something)(!(ou:dn:=other)))"

对比两者的日志，重点看发送的过滤器内容是否一致，这能快速定位是否有其他格式或编码问题。

4. 逐步简化过滤器排查问题 #

如果修正&后还是有问题，可以逐步简化过滤器：

• 先测试(ou:dn:=other)单独作为过滤器，看是否能正常搜索
• 再测试(&(uid=something)(ou:dn:=other))
• 最后加上!(...)和whatever=*的条件
  通过逐步排查，确定是哪一部分过滤器逻辑导致的错误。

内容的提问来源于stack exchange，提问作者Nelson Teixeira