我的active directory上有一个用于身份验证的函数，它工作正常，除了一些包含特殊字符的密码，例如：
<>
总是返回“无效凭据”
我在网上看过好几篇文章，但似乎没有一篇是正确的。
我使用的是php version 5.3.8-zs（zend服务器）
以下是我的类构造函数中的设置：

ldap_set_option($this->_link, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($this->_link, LDAP_OPT_REFERRALS, 0); 

public function login($userlogin,$userpassword){
$return=array();
$userlogin.="@".$this->_config["domaine"];
$ret=@ldap_bind($this->_link , $userlogin ,utf8_decode($userpassword));
if(!$ret){
    $return[]=array("status"=>"error","message"=>"Erreur d'authentification ! <br/> Veuillez vérifier votre nom et mot de passe SVP","ldap_error"=>ldap_error($this->_link));
}
if($ret)
{
    $return[]=array("status"=>"success","message"=>"Authentification réussie");
}
return json_encode($return);
}

最佳答案

我们发现自己处于一个类似的环境中，我们的企业环境ldap身份验证设置对于我们的一个内部托管web应用程序似乎工作得很好，直到用户的密码中有特殊字符，比如？*想使用该应用程序，然后很明显，有些东西实际上没有按预期工作。
当受影响的用户密码中出现特殊字符时，我们发现我们的身份验证请求失败到ldap_bind()，并且常见的错误是如Invalid credentials或NDS error: failed authentication (-669)（从LDAP的扩展错误日志记录）输出到日志。事实上，是NDS error: failed authentication (-669)错误导致了失败的绑定很可能是由于密码中存在特殊字符——通过Novell支持文章[AA]，其中最显著的部分摘录如下：
管理密码包含LDAP无法理解的字符，即：“\
和“$”
已经对一系列修复进行了广泛的测试，包括通过html_entity_decode()、utf8_encode()等来“清除”密码，并确保web应用程序和各种服务器之间没有密码的错误编码，但是无论做什么来调整或保护输入文本，以确保其原始的UTF-8编码保持完整，ldap_bind()当密码中存在一个或多个特殊字符时，总是失败（我们没有用用户名中的特殊字符测试用例）。但也有人报告说，当用户名包含特殊字符而不是密码或密码之外的字符时，也会出现类似的问题。
我们还使用在命令行上运行的最小php脚本直接测试了ldap_bind()，该脚本使用硬编码用户名和密码对密码中包含特殊字符（包括问号、星号和感叹号）的测试ldap帐户进行了测试，试图尽可能多地消除失败的潜在原因，但是绑定操作仍然失败。因此，很明显，这不是密码在Web应用程序和服务器之间错误编码的问题，所有这些设计和构建都是符合UTF-8的端到端的。相反，它似乎有一个潜在的问题与CC及其特殊字符的处理。同一个测试脚本成功地绑定了另一个密码中没有任何特殊字符的帐户，进一步证实了我们的怀疑。
早期版本的ldap身份验证的工作方式如下，这是大多数php ldap身份验证教程建议的：

$success = false; // could we authenticate the user?

if(!defined("LDAP_OPT_DIAGNOSTIC_MESSAGE")) {
    define("LDAP_OPT_DIAGNOSTIC_MESSAGE", 0x0032); // needed for more detailed logging
}

if(($ldap = ldap_connect($ldap_server)) !== false && is_resource($ldap)) {
    ldap_set_option($ldap, LDAP_OPT_PROTOCOL_VERSION, 3);
    ldap_set_option($ldap, LDAP_OPT_REFERRALS, 0);

    if(@ldap_bind($ldap, sprintf("cn=%s,ou=Workers,o=Internal", $username), $password)) {
        $success = true; // login succeeded...
    } else {
        error_log(sprintf("* Unable to authenticate user (%s) against LDAP!", $username));
        error_log(sprintf(" * LDAP Error: %s", ldap_error($ldap)));

        if(ldap_get_option($ldap, LDAP_OPT_DIAGNOSTIC_MESSAGE, $extended_error)) {
            error_log(sprintf(" * LDAP Extended Error: %s\n", $extended_error));
            unset($extended_error);
        }
    }
}
@ldap_close($ldap); unset($ldap);

if(!defined("LDAP_OPT_DIAGNOSTIC_MESSAGE")) {
    define("LDAP_OPT_DIAGNOSTIC_MESSAGE", 0x0032); // needed for more detailed logging
}

$success = false; // could we authenticate the user?

if(($ldap = @ldap_connect($ldap_server)) !== false && is_resource($ldap)) {
    ldap_set_option($ldap, LDAP_OPT_PROTOCOL_VERSION, 3);
    ldap_set_option($ldap, LDAP_OPT_REFERRALS, 0);

    // instead of trying to bind the user, we bind to the server...
    if(@ldap_bind($ldap, $ldap_username, $ldap_password)) {
        // then we search for the given user...
        if(($search = ldap_search($ldap, "ou=Workers,o=Internal", sprintf("(&(uid=%s))", $username))) !== false && is_resource($search)) {
            // they should be the first and only user found for the search...
            if((ldap_count_entries($ldap, $search) == 1) && ($entry = ldap_first_entry($ldap, $search)) !== false && is_resource($entry)) {
                // we ensure this is the case by obtaining the user identifier (UID) from the search which must match the provided $username...
                if(($uid = ldap_get_values($ldap, $entry, "uid")) !== false && is_array($uid)) {
                    // ensure that just one entry was returned by ldap_get_values() and ensure the obtained value matches the provided $username (excluding any case-differences)
                    if((isset($uid["count"]) && $uid["count"] == 1) && (isset($uid[0]) && is_string($uid[0]) && (strcmp(mb_strtolower($uid[0], "UTF-8"), mb_strtolower($username, "UTF-8")) === 0))) {
                        // once we have compared the provied $username with the discovered username, we get the DN for the user, which we need to provide to ldap_compare()...
                        if(($dn = ldap_get_dn($ldap, $entry)) !== false && is_string($dn)) {
                            // we then use ldap_compare() to compare the user's password with the provided $password
                            // ldap_compare() will respond with a boolean true/false depending on if the comparison succeeded or not, and -1 on error...
                            if(($comparison = ldap_compare($ldap, $dn, "userPassword", $password)) !== -1 && is_bool($comparison)) {
                                if($comparison === true) {
                                    $success = true; // user successfully authenticated, if we don't get this far, it failed...
                                }
                            }
                        }
                    }
                }
            }
        }
    }

    if(!$success) { // if not successful, either an error occurred or the credentials were actually incorrect
        error_log(sprintf("* Unable to authenticate user (%s) against LDAP!", $username));
        error_log(sprintf(" * LDAP Error: %s", ldap_error($ldap)));
        if(ldap_get_option($ldap, LDAP_OPT_DIAGNOSTIC_MESSAGE, $extended_error)) {
            error_log(sprintf(" * LDAP Extended Error: %s\n", $extended_error));
            unset($extended_error);
        }
    }
}
@ldap_close($ldap);
unset($ldap);

关于php - 当密码包含“＆”号时，php ldap_bind失败，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/12858493/