phpEnv 默认不启用 LDAP 扩展，需根据当前 PHP 版本（如 phpenv version 查得 8.1.25）定位对应 php.ini（php --ini），安装系统级扩展（如 sudo apt-get install php8.1-ldap），取消注释 extension=ldap，重启服务后 php -m | grep ldap 验证；连接企业 LDAP 时必设 LDAP_OPT_PROTOCOL_VERSION=3、LDAP_OPT_REFERRALS=0，且 StartTLS 需在 ldap_bind 前调用并检查返回值。
phpEnv 默认不启用 LDAP 扩展，必须手动开启并验证；否则调用 ldap_connect 会直接报 Call to undefined function ldap_connect() —— 这是绝大多数人卡住的第一步。
确认 phpEnv 当前 PHP 版本和扩展目录
phpEnv 是多版本共存环境，不同 PHP 版本的配置文件、扩展路径完全隔离。不查清楚当前激活版本，改错 php.ini 就白忙活。
- 运行
phpenv version查看当前使用的 PHP 版本（例如8.1.25） - 运行
php --ini确认加载的php.ini路径，通常是~/.phpenv/versions/8.1.25/etc/php.ini - 运行
php -m | grep ldap检查 LDAP 是否已加载；没输出就说明未启用
安装并启用 LDAP 扩展（Linux/macOS）
phpEnv 本身不提供扩展安装能力，需依赖系统包管理器或源码编译。多数情况下，直接装系统级 LDAP 扩展 + 启用即可，但要注意版本对齐。
- Ubuntu/Debian：运行
sudo apt-get install php8.1-ldap（把8.1替换为你的实际版本号） - CentOS/RHEL：运行
sudo yum install php81-php-ldap或sudo dnf install php-ldap（取决于 SCL 或 Remi 仓库配置） - 编辑对应版本的
php.ini，取消注释或添加：extension=ldap（注意不是ldap.so，phpEnv 下通常用模块名自动解析） - 重启 Web 服务（如 Apache）或 CLI 环境（若用 php-fpm，需 reload
php-fpm） - 再执行
php -m | grep ldap，有输出即成功
连接企业 LDAP 时必设的三个选项
即使扩展启用了、ldap_connect 不报错，企业内网 LDAP 仍大概率认证失败或搜索超时——根本原因是默认协议行为与企业 AD/LDAP 服务器不兼容。
立即学习“PHP免费学习笔记（深入）”；
- 必须设置协议版本为 3：
ldap_set_option($conn, LDAP_OPT_PROTOCOL_VERSION, 3)；v2 已废弃，多数企业服务器拒绝 v2 绑定 - 必须禁用 referrals：
ldap_set_option($conn, LDAP_OPT_REFERRALS, 0)；否则遇到跨域跳转会中断，且 PHP 的 referral 处理逻辑极不可靠 - 若企业要求加密（几乎都要求），优先用 StartTLS（端口 389）而非 LDAPS（636）：
ldap_start_tls($conn)必须在ldap_bind前调用，且仅在明文连接后有效
调试连接失败的三行关键检查
连不上？别急着重写代码。90% 的问题出在底层连接或权限，而不是 PHP 语法。
- 先用命令行验证网络和基础可用性：
ldapsearch -x -H ldap://your-ad-server.corp -b "dc=corp,dc=local" -D "user@corp.local" -W "(objectClass=user)"—— 能通，说明网络、DNS、端口、账号密码都 OK - PHP 中连接后立即检查错误：
if (!$conn) { echo ldap_error($conn); }，但注意ldap_error在连接失败时可能返回空，此时应结合ldap_errno判断是否为LDAP_SERVER_DOWN（值 81） - 绑定失败时，不要只看
ldap_error，还要确认 DN 格式：AD 常用user@domain.com或DOMAIN\user，而 OpenLDAP 多用uid=user,ou=people,dc=corp,dc=local；错一个逗号或大小写都失败
最容易被忽略的是：StartTLS 启动后，后续所有操作（包括 ldap_bind）都在加密通道上进行，但 PHP 不会自动重试或降级；如果服务器不支持 TLS 或证书校验失败，ldap_start_tls 返回 false，但很多人没检查就直接 bind，结果报“Invalid credentials”这种误导性错误。
