ldap_connect()返回false主因是网络/协议配置问题：检查LDAPS是否启用OpenSSL及证书信任、端口是否匹配（LDAP 389/LDAPS 636/AD全局编录3268）、DNS能否解析域控制器主机名。
LDAP连接失败：ldap_connect()返回false怎么办
多数PHP LDAP集成卡在第一步——连不上服务器。ldap_connect()不抛异常，只返回false，容易误判为代码写错，实际常是网络或协议配置问题。
- 确认LDAPS是否启用：若用
ldaps://前缀，必须开启OpenSSL扩展，且服务器证书需被系统信任（不能仅靠LDAP_OPT_X_TLS_REQUIRE_CERT设为LDAP_OPT_X_TLS_NEVER绕过，生产环境禁用） - 端口别硬编码：LDAP默认389，LDAPS默认636；但AD常监听3268（全局编录），跨域查用户时得换端口
- Windows AD环境注意DNS解析：PHP进程所在机器必须能通过主机名解析到域控制器IP，
ldap_connect("dc01.example.com")比IP更可靠，尤其启用了SRV记录时
bind操作报错“Invalid credentials”但账号密码明明正确
这不是密码输错了，而是绑定DN格式或权限不匹配。AD和OpenLDAP对绑定身份要求差异大，同一套代码切环境常崩在这里。
- AD必须用完整Distinguished Name（如
"CN=Admin,CN=Users,DC=example,DC=com"），不能只用sAMAccountName（如"admin"） - OpenLDAP常用
uid=admin,ou=people,dc=example,dc=com，但若启用了authz-regexp规则，可能允许简单用户名绑定——得看服务端配置，PHP侧无法猜测 - 检查
ldap_set_option($conn, LDAP_OPT_PROTOCOL_VERSION, 3)是否设置：AD强制v3，v2已废弃，不设会静默失败
ldap_search()查不到用户：filter写法和base_dn选错
搜索范围太窄或过滤条件语法错，导致ldap_search()返回空结果，但ldap_errno()却是0（成功），极易漏判。
-
base_dn要够宽：查全公司用户别写"OU=IT,DC=example,DC=com"，用"DC=example,DC=com"更稳妥；AD中查登录名建议加(&(objectClass=user)(sAMAccountName=username)) - 特殊字符必须转义：用户名含
\、*、(等，要用ldap_escape()（PHP 7.4+）或手动替换，否则filter被截断 - 属性名大小写敏感：AD返回
sAMAccountName，不是samaccountname；获取邮箱用mail而非email
PHP-FPM下LDAP连接池失效：每次请求都新建连接
LDAP连接不支持传统意义上的长连接复用，ldap_connect()每次调用都新建socket，高并发下易触发连接数限制或超时。
立即学习“PHP免费学习笔记（深入）”；
- 不要依赖全局静态连接变量：PHP-FPM worker进程间不共享资源，
static $conn只在单次请求内有效 - 用
ldap_set_rebind_proc()处理Referral跳转，否则跨域查询失败后不会自动重试 - 务必
ldap_unbind()：虽PHP脚本结束会自动释放，但在长生命周期的Swoole/ReactPHP中不显式关闭会导致句柄泄漏
AD环境尤其要注意GC（全局编录）端口和SPN配置，这些不在PHP控制范围内，但错误会表现为“部分用户可登录、部分不行”，排查时容易陷入代码陷阱。
