应使用OpenLDAP C API实现LDAP认证，因其成熟稳定且支持TLS加密；优先调用ldap_start_tls_s+ldap_sasl_bind_s确保凭据安全；注意错误处理、线程安全、证书验证等关键细节。
不能直接调用 LDAP 认证，C++ 没有内置 LDAP 支持，必须依赖外部库；最常用、最稳妥的选择是 OpenLDAP C API。
为什么不用 Boost.Asio 或自己写 socket
LDAP 是应用层协议（基于 ASN.1/BER 编码 + TCP），不是简单发 HTTP 那种请求。自己解析 bindRequest、bindResponse、处理 SASL、TLS 握手、DN 转义、base64 编码等，极易出安全漏洞或兼容问题。OpenLDAP 已经稳定维护三十多年，覆盖所有主流服务器（Active Directory、OpenLDAP、389 Directory Server）的 corner case。
ldap_simple_bind_s 和 ldap_sasl_bind_s 怎么选
绝大多数企业环境（尤其是 AD）要求 TLS 加密传输凭据，明文 ldap_simple_bind_s 会被拒绝或触发安全告警。实际应优先走 ldap_start_tls_s + ldap_sasl_bind_s（即使只用 "SIMPLE" 机制），确保连接已加密后再提交密码。
- AD 默认禁用非 TLS 的 simple bind（组策略：Network security: LDAP client signing requirements）
-
ldap_sasl_bind_s的第三个参数传NULL表示使用默认 SIMPLE 机制，但底层仍走 TLS 封装 - 若需 Kerberos（如 Windows 域内单点登录），才真正用到
"GSS-SPNEGO"等机制，需额外链接krb5库
常见崩溃和超时错误怎么定位
OpenLDAP C API 是纯 C 风格，错误全靠返回值和 ldap_get_option 取 LDAP_OPT_RESULT_CODE，不抛异常。最常踩的坑是：未检查 ldap_initialize 返回值、忘记 ldap_unbind_ext、在多线程中复用同一 LDAP* 句柄。
立即学习“C++免费学习笔记（深入）”；
-
Segmentation fault多因ldap_initialize(&ld, "ldap://...")失败后仍对空指针调ldap_simple_bind_s -
LDAP_TIMEOUT（-1）通常不是网络问题，而是没调ldap_set_option(ld, LDAP_OPT_NETWORK_TIMEOUT, &tv)设置超时 - Windows 上链接时漏加
Wldap32.lib，会报LNK2019: unresolved external symbol ldap_init
证书验证绕过只该用于测试
生产环境绝不要设 LDAP_OPT_X_TLS_REQUIRE_CERT 为 LDAP_OPT_X_TLS_NEVER。AD 或 FreeIPA 的 LDAPS 端口（636）必须验证服务器证书，否则中间人攻击风险极高。正确做法是：把 CA 证书路径通过 LDAP_OPT_X_TLS_CACERTFILE 显式传入，或让系统信任链自动加载（Linux 用 /etc/ssl/certs/ca-certificates.crt，Windows 用本地证书存储）。
复杂点在于：不同平台证书路径逻辑不一致，OpenLDAP 在 Windows 上默认不读注册表证书，必须显式配置；而 macOS 的 Security.framework 需要额外编译选项支持。这些细节一旦漏掉，ldap_start_tls_s 就静默失败。
