Oracle无内置LDAP认证函数，必须用DBMS_LDAP.simple_bind_s显式绑定，且需网络ACL授权，否则报ORA-24247；认证成败取决于init、DN构造、simple_bind_s三步连贯执行与参数合法。
oracle存储过程无法直接完成ldap用户认证，必须用 dbms_ldap.simple_bind_s 显式发起绑定请求，且该调用必须在具备网络acl权限的存储过程中执行——否则立即报 ora-24247。
为什么不能在PL/SQL里直接写“if ldap_auth(user, pwd) then …”
因为Oracle没有内置的LDAP认证函数，DBMS_LDAP 是一个低层接口包，所有操作都需手动管理连接生命周期、错误码和内存结构。常见错误现象包括：
- 触发器或函数中调用
DBMS_LDAP.init后未simple_bind_s就返回，结果始终为“认证通过”（实际根本没连） - 传入空密码或NULL密码，
simple_bind_s返回0（成功），但这是匿名绑定，不是用户认证 - 用户名DN格式错误，例如写成
uid=john,ou=people,dc=example,dc=com却忘了LDAP服务器实际要求cn=john,ou=users,…，导致返回错误码49（Invalid credentials）
DBMS_LDAP.simple_bind_s 的最小可行调用链
认证成败只取决于这三步是否连贯、参数是否合法：
- 用
DBMS_LDAP.init(host => 'ldap.example.com', port => 389)获取 session 句柄；SSL连接请改用636并提前配置 Oracle Wallet - 构造完整DN：不能拼接字符串，必须严格按目标LDAP目录结构来，例如 Active Directory 常用
DOMAIN\username格式，而 OpenLDAP 要求uid=username,ou=people,dc=example,dc=com - 调用
DBMS_LDAP.simple_bind_s(ld => l_session, dn => l_user_dn, passwd => l_password)，检查返回值是否等于 0；非0即失败，不要忽略返回值
示例片段（不带异常处理）：
DECLARE
l_session DBMS_LDAP.session;
l_retval PLS_INTEGER;
l_user_dn VARCHAR2(256) := 'uid=testuser,ou=people,dc=example,dc=com';
l_password VARCHAR2(128) := 'secret123';
BEGIN
l_session := DBMS_LDAP.init('ldap.example.com', 389);
l_retval := DBMS_LDAP.simple_bind_s(l_session, l_user_dn, l_password);
IF l_retval = 0 THEN
DBMS_OUTPUT.PUT_LINE('认证成功');
ELSE
DBMS_OUTPUT.PUT_LINE('认证失败，错误码：' || l_retval);
END IF;
DBMS_LDAP.unbind_s(l_session);
END;
网络ACL和字符编码这两个坑最常被跳过
即使代码逻辑完全正确，90% 的失败仍卡在这两处：
- 必须由 DBA 执行
DBMS_NETWORK_ACL_ADMIN.APPEND_HOST_ACE，把 LDAP 服务器 IP 和端口加入白名单；仅授予CONNECT权限不够，还需RESOLVE（用于DNS解析） - 中文用户名或含特殊字符（如
+、,、=）的 DN 必须做 RFC 2253 转义：空格前加反斜杠，逗号、等号本身也要转义，例如cn=张\345\260\217,ou=研发部,dc=example,dc=com；直接拼接未转义字符串会导致错误码34（Invalid DN syntax）
真正难的不是写几行 DBMS_LDAP 调用，而是确认你拿到的那个DN到底是不是LDAP服务器认可的、那个密码字段是否被服务端策略拒绝（比如强制复杂度）、以及网络ACL是否漏掉了DNS查询所需的 RESOLVE 权限——这些细节不会报错在PL/SQL里，只会让 simple_bind_s 默默返回非0值。
