在Windows和UNIX下利用PHP和LDAP进行身份验证

我现在的老板曾要求我为企业内部互联网的Web服务提供一种标准的身份验证方法。我遇到的一个主要问题就是我们公司主要使用了两种平台：UNIX和Windows。所以，我的第一个想法并不很成功：它要求每个员工都使用UNIX或者Linux而放弃Windows。

我认为解决现在的UNIX/Windows问题的最好方法就是利用PHP的LDAP特性。由于LDAP服务器，要求我使用现有的系统，主要指的是一个巨大的Microsoft Exchange Server系统。我非常高兴使用Exchange，它很可靠，而且LDAP特性的使用和配置也极为简单。不过，请你注意：这套方案就身份验证角度来看并不是最安全的。如果有较高等级的安全需求，我强烈建议你采用LDAP和SSL。

从哪里开始学习

为了让你入门，我给出了一个PHP LDAP函数的清单并对函数的功能给以简要说明。然后，我将演示如何建立到LDAP服务器的连接并验证用户。为了代码简单起见，我将演示PHP连接的功能以及如何绑定到LDAP服务器。

一对绝配：PHP和LADP

下面是我在例子中将要使用的函数的清单。网上有相关资料。

• ldap_connect—用来连接LDAP服务。
• ldap_bind—用来绑定到特定的LDAP目录。
• ldap_error—从LDAP服务器上获得错误信息。
• ldap_search—用来开始搜索。
• ldap_get_entries—从搜索结果中获得多个结果。
• ldap_close—关闭LDAP连接。

现在我在例子中演示如何使用第一个函数（代码清单A）并适当介绍该函数的功能。

代码清单A将会返回一个到LDAP服务器的连接（也称为资源，即resource）。ldap_connect函数有两个参数：主机（host）和端口。第一个参数：主机就是LDAP主机名称，第二个参数是LDAP运行的端口。默认情况下，LDAP使用的端口号为389。如果你需要到LDAP服务器的一个安全连接，你可以把参数host改为一个你可以访问的LDAP服务器的URL，如下所示：

由于你指定了URL而不是服务器名称，在这种方法下，你就不需要使用端口参数了。需要牢记的一点就是确切名称需要与加密套接字协议层证书（the SSL certificate）对应。

代码清单B演示了如何用用户名和口令来绑定到服务器。我创建了一个合适的域名（domain name ，DN）并用用户的口令来合法连接到LDAP。我们通过使用域名和口令就可以让LDAP服务器通过身份认证并允许绑定连接，这样我们就成功的绑定上了。ldap_bind的返回值是一个布尔类型。我们可以根据返回值判断用户的登录证书是否有效。当这个过程结束后，你就可以知道用户身份是否得到了认证。