不是。ldap_bind()返回false不一定是账号密码错，常见原因包括LDAP_SERVER_DOWN、LDAP_INVALID_CREDENTIALS或LDAP_UNAVAILABLE，须用ldap_errno($conn)获取具体错误码，不能仅凭布尔值判断。
ldap_bind() 返回 false 就一定是账号密码错？
不是。常见情况是连接成功但认证失败，ldap_bind() 返回 false，但真正原因可能是：LDAP_SERVER_DOWN、LDAP_INVALID_CREDENTIALS 或 LDAP_UNAVAILABLE。必须用 ldap_errno($conn) 拿错误码，不能只看布尔值。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 先用
ldap_connect()连上服务器（注意：不验证凭据），再调用ldap_set_option($conn, LDAP_OPT_PROTOCOL_VERSION, 3)强制协议为 v3，否则 Windows 域控可能拒绝绑定 - 绑定时用完整 DN 格式，例如
"cn=张三,ou=IT,dc=example,dc=com"，而非单纯用户名；若不确定 DN，先用匿名 bind 查用户（见下节） - 域控默认禁用匿名绑定，测试阶段可临时开启
LDAP_ANONYMOUS_ACCESS（不推荐生产），或改用 service account 先查 DN 再 bind
查不到用户 DN？试试 ldap_search + ldap_first_entry
域控里用户对象的 DN 不固定，靠拼接容易出错。得先搜索，再提取 DN。关键点：搜索 Base DN 要够宽（如 "dc=example,dc=com"），Filter 要符合 AD 规则（"(sAMAccountName=xxx)" 或 "(userPrincipalName=xxx@example.com)"）。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 搜索前确保已设置
LDAP_OPT_REFERRALS为0，否则跨域查询会失败：ldap_set_option($conn, LDAP_OPT_REFERRALS, 0) - 用
ldap_search($conn, $base_dn, $filter, ['dn'])只取 dn 属性，减少数据量；再用ldap_first_entry($conn, $result)和ldap_get_dn($conn, $entry)提取 DN 字符串 - AD 默认限制单次返回 1000 条，如果用户多且 filter 太宽，
ldap_count_entries()可能返回 0 —— 换更精确 filter，或确认域控是否启用了分页控件（LDAP_CONTROL_PAGEDRESULTS）
PHP 启用 ldap 扩展却报 “Call to undefined function ldap_connect”
不是扩展没装，而是 Apache/Nginx 的 PHP SAPI 和 CLI 的 php.ini 不同。Web 环境下常因配置分离导致扩展未生效。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 在 Web 页面中运行
phpinfo()，搜索 “ldap”，确认 “LDAP Support” 显示 enabled，且 “extension_dir” 路径下存在ldap.so（Linux）或php_ldap.dll（Windows） - 检查 Web 服务使用的 php.ini —— Apache 看
Loaded Configuration File，Nginx+PHP-FPM 看fpm/php.ini，别只改了/etc/php/*/cli/php.ini - Windows 下若提示 “找不到指定模块”，大概率是缺少
libsasl.dll或ssleay32.dll，需把 PHP 安装目录下的libeay32.dll、ssleay32.dll复制到system32或 Apache bin 目录
SSL/TLS 连接域控失败：ldap_start_tls() 返回 false
AD 域控启用 LDAPS（端口 636）或 StartTLS（端口 389）时，PHP 默认不校验证书，但若域控证书是内网 CA 签发或自签，PHP 会因无法验证而中断 TLS 升级。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 优先用
ldaps://前缀直连 636 端口（需域控开启 LDAPS），比 StartTLS 更稳定；若必须用 StartTLS，务必在ldap_connect()后、ldap_bind()前调用ldap_start_tls($conn) - 跳过证书校验（仅限测试）：
ldap_set_option(null, LDAP_OPT_X_TLS_REQUIRE_CERT, LDAP_OPT_X_TLS_NEVER)；生产环境应把内网 CA 证书路径传给LDAP_OPT_X_TLS_CACERTFILE - OpenSSL 版本太低（如 openssl s_client -connect dc.example.com:636 -showcerts 验证证书链是否完整
