使用LDAP通过Active Directory在PHP中进行身份验证

Question

使用LDAP通过Active Directory在PHP中进行身份验证

DV.*_*DV. 102 php authentication ldap active-directory

我正在寻找一种通过LDAP使用PHP验证用户的方法(Active Directory是提供者).理想情况下,它应该能够在IIS 7上运行(adLDAP在Apache上运行).有没有人做过类似的事情,成功了？

编辑:我更喜欢一个库/类,代码已准备就绪......当有人已经这样做时,发明轮子是愚蠢的.

Answer 1

当您需要的只是两行代码时,导入整个库似乎效率低下......

$ldap = ldap_connect("ldap.example.com");
if ($bind = ldap_bind($ldap, $_POST['username'], $_POST['password'])) {
  // log them in!
} else {
  // error message
}

Run Code Online (Sandbox Code Playgroud)

如果提供的密码为空,则某些AD安装将成功绑定.当心这个!在尝试进行身份验证之前,您可能需要确保非空密码. (43认同)

Answer 2

Cha*_*rra 14

你会认为简单地在Active Directory中验证用户是一个非常简单的过程,在PHP中使用LDAP而不需要库.但是有很多东西可以很快地使它复杂化:

您必须验证输入.否则将传递空的用户名/密码.
您应确保在绑定时正确编码用户名/密码.
您应该使用TLS加密连接.
在一个服务器关闭的情况下,使用单独的LDAP服
如果身份验证失败,则会收到信息性错误消息

在大多数情况下,使用支持上述的LDAP库实际上更容易.我最终完成了自己的库,它处理了以上所有要点:LdapTools(好吧,不仅仅是用于身份验证,它可以做更多).它可以像下面这样使用:

use LdapTools\Configuration;
use LdapTools\DomainConfiguration;
use LdapTools\LdapManager;

$domain = (new DomainConfiguration('example.com'))
    ->setUsername('username') # A separate AD service account used by your app
    ->setPassword('password')
    ->setServers(['dc1', 'dc2', 'dc3'])
    ->setUseTls(true);
$config = new Configuration($domain);
$ldap = new LdapManager($config);

if (!$ldap->authenticate($username, $password, $message)) {
    echo "Error: $message";
} else {
    // Do something...
}

Run Code Online (Sandbox Code Playgroud)

上面的身份验证呼叫将:

验证用户名或密码均为空.
确保用户名/密码已正确编码(默认为UTF-8)
尝试使用备用LDAP服务器以防万一.
使用TLS加密身份验证请求.
如果失败则提供其他信息(即锁定/禁用帐户等)

还有其他库可以做到这一点(例如Adldap2).但是,我觉得有必要提供一些额外的信息,因为最高投票的答案实际上是一个安全风险,依赖于没有完成输入验证而不使用TLS.

@zenlord不建议使用ldaps：//格式的连接。在我的示例中，当您指定`setUseTls（true）`时，它使用`ldap：//`格式，然后使用`ldap_start_tls（$ connection）`发出StartTLS。因此TLS本身并没有被弃用，只是使用ldaps：//（实际上是通过完全不同的端口连接到LDAP）进行连接。 (2认同)