XAMPP如何开启LDAP扩展 XAMPP实现域账号登录配置

Apache启动失败常见原因是php_ldap.dll依赖的libeay32.dll、ssleay32.dll和libsasl.dll缺失或路径错误，需复制至System32和xampp\apache\bin目录，并启用extension=php_ldap.dll及php_openssl.dll，重启XAMPP控制面板；连接AD域控时须设LDAP_OPT_PROTOCOL_VERSION为3、使用ldaps://前缀并确认防火墙与baseDN/filter配置正确。

php.ini 里启用 ldap 扩展但 Apache 启动失败

先别急着怀疑是配置不对，最典型的症状是Apache一启动就报错：PHP Warning: PHP Startup: Unable to load dynamic library 'php_ldap.dll'，或者干脆卡死在启动界面，点十次都没反应。很多兄弟第一反应就是把 php_ldap.dll 勾上就完事了，但Apache照样罢工——问题的根子其实不在这个DLL本身，而是它依赖的那些底层DLL要么丢了、要么路径不对。

真正的核心是以下三个文件必须到位：

• libeay32.dll 和 ssleay32.dll：这两个记得复制到 C:\Windows\System32 里去。注意了，64位系统也放在System32，别手滑扔到SysWOW64，Apache不一定认那个目录。
• libsasl.dll：XAMPP自带了，但默认不在搜索路径中。你得手动把它复制到 xampp\apache\bin\ 目录下，不然Apache找不到。

做完这些之后，还要检查 php.ini 里那一行 extension=php_ldap.dll 的注释有没有去掉。改完之后，记得重启整个XAMPP控制面板，光是重启Apache是不够的，这一点经常被忽略。

连接域控时 ldap_connect() 返回 false 或超时

很多人在代码里写好了连接逻辑，结果返回false或者直接超时。是不是代码写错了？大概率不是。问题多半出在协议版本、SSL设置，或者被网络策略卡住了。AD域控默认不接受LDAP v2，而且很多环境下已经强制关闭了非加密的389端口，尤其是启用了LDAPS的域。

关键操作有三步，少一步都不行：

• 连接之后，立刻调用 ldap_set_option($ds, LDAP_OPT_PROTOCOL_VERSION, 3)。这一步不能省，Windows Server 2012及以后的域控，你用LDAP v2去握手，它直接就把你拒绝了。
• 如果域控强制使用LDAPS（也就是636端口），那得先确保PHP的 openssl 扩展已经启用，就是 extension=php_openssl.dll。连接的时候要用 ldaps:// 前缀，别再用 ldap:// 了。
• 防火墙和组策略可能是最大的坑。本地防火墙可以临时关掉测一下；如果是公司统一策略管控，那得找域管理员确认下，你的来源IP有没有被允许访问389或636端口。

禅道集成 LDAP 时登录报“认证失败”，但账号密码确认无误

这个情况也很常见：账号密码百分之百正确，但就是报认证失败。原因不是插件有bug，而是禅道默认会对密码做两次MD5加密，但LDAP认证需要明文传输——这两者根本不兼容。

所以要改两个地方，缺一不可：

• 在 config/my.php 末尾加上这一行：$config->notMd5Pwd = true;。注意了，是 true，不要写成字符串的 'true'，否则没有效果。
• 然后找到 zbox/app/zentao/module/user/js/login.js 文件，把里面关于密码MD5处理的逻辑注释掉，重点就是这两行：md5(md5(password) + rand)。不改这里，前端还是会加密再传。

改完之后，一定要清一下浏览器缓存，光刷新页面是没用的。JS缓存会把旧逻辑继续执行，你改再多后端的代码也没辙。

getUserDn() 查询不到用户 DN，ldap_search() 返回空结果

这个问题十有八九出在 baseDN 或者 filter 的写法上。别看它俩看起来简单，大小写、空格、标点符号，LDAP协议都认，错一点都不行。

调试的时候按这个顺序来，效率最高：

• 先拿 ldap_bind($ds, $bindDN, $bindPWD) 测一下绑定是否成功。如果绑定都失败了，说明bind账号本身就没有权限查询用户，后面的操作都是白费功夫。
• baseDN 必须完整，比如 DC=example,DC=com。少写一个DC，查出来的结果就是空的。
• filter 这块尤其要小心。很多人习惯性写 (sAMAccountName=xxx)，但禅道插件示例里写的是 uid。AD域控默认用 sAMAccountName，所以你得改成 (sAMAccountName=$account) 才行。
• 查完之后用 var_dump($data) 看看返回的结构。AD返回的DN躲在 $data[0]['dn'][0] 里，不是 $data[0]['dn']，不少人栽在这个细节上。

最容易被忽略的一点是：AD域控默认限制单次查询返回条目数最多1000条。如果你的用户在很深的OU下面，而 baseDN 范围设定得太大，查询很可能被截断。建议把 baseDN 精确到具体的OU上，这样既快又准。