生产环境连接LDAP需用ldap.DialURL配合TLS配置，设超时与连接池；AD用sAMAccountName过滤，OpenLDAP用uid；密码修改必须用PasswordModify操作，组成员判定优先查tokenGroups属性。
怎么连上LDAP服务器并保持连接稳定
直接用 ldap.DialURL 最省事，但生产环境必须考虑超时、重试和TLS验证。硬编码 "ldaps://host:636" 看似简单，实际会因证书校验失败静默断连。
- 优先用
ldap.DialURL+ldap.DialWithTLSConfig：显式传入&tls.Config{RootCAs: pool}，别用InsecureSkipVerify: true（开发可临时加，上线必须删） - 连接后立刻调用
conn.StartTLS比直接连ldaps://更可控——尤其当服务端只开放ldap://:389但支持 STARTTLS 时 - 务必设置
conn.SetTimeout，默认无超时，一次阻塞会卡死整个 goroutine；建议读写超时都设为 5–10 秒 - 不要每次请求都新建连接：用连接池（如
sync.Pool或封装成单例），否则高并发下 fd 耗尽或 TIME_WAIT 爆满
用户认证流程为什么不能只搜一次就完事
常见错误是搜索到用户 DN 后直接拿密码去 bind，结果返回 "Invalid credentials" 却查不出原因——其实问题出在搜索阶段没拿到完整 DN，或 bind 时用了错误的 DN 格式。
- 搜索必须用精确匹配过滤器，比如
fmt.Sprintf("(uid=%s)", username)，避免通配符引发多条结果；len(sr.Entries) != 1就该直接报错，不往下走 - Active Directory 常用
sAMAccountName而非uid，过滤器得改成(sAMAccountName=%s)；OpenLDAP 默认用uid，混用会导致查不到 - 拿到
sr.Entries[0].DN后，bind 前检查是否为空或含非法字符（如未转义的逗号、反斜杠）；某些 AD 返回的 DN 带空格，需 trim - 别复用管理员连接做用户 bind：先用管理员账号连上、搜出用户 DN，再新建一个连接（或复用池中干净连接）以该 DN+密码 bind——避免权限上下文污染
怎么把 LDAP 用户信息安全地映射到微服务会话中
单纯返回 map[string]interface{} 很危险：LDAP 属性名大小写不敏感但 Go struct 字段敏感，且 memberOf 这类多值属性容易漏处理。
- 定义明确结构体接收搜索结果，比如
type LDAPUser struct { DN string `ldap:"dn"` CN string `ldap:"cn"` Mail string `ldap:"mail"` Groups []string `ldap:"memberOf"` } - 用
sr.Entries[0].GetAttributeValue("mail")取单值，用sr.Entries[0].GetAttributeValues("memberOf")取多值，别依赖sr.Entries[0].Attributes手动遍历——字段名可能带空格或大小写不一致 - JWT payload 里别直接塞原始 DN 或密码哈希；提取业务所需字段（如
username,email,roles），角色从Groups中解析并映射成预定义枚举（如"admin","hr"） - 若需长期缓存用户信息，用 Redis 存 key 为
ldap:user:<dn_hash></dn_hash>的结构化数据，TTL 设为 1–2 小时，避免 LDAP 查询压力过大
为什么密码修改和组成员判断容易出错
ldap.PasswordModify 和 ldap.NewSearchRequest 看似独立，但在 AD 环境下常因控制项缺失或语法差异失败。
立即学习“go语言免费学习笔记（深入）”；
- 改密码必须用
ldap.PasswordModify，不能用Modify直接改userPassword字段——AD 会拒绝，OpenLDAP 可能允许但不触发密码策略 - 判断用户是否在某组，别用
member属性正向查（效率低且易漏嵌套组），改用ldap.NewSearchRequest查(&(objectClass=group)(member=<user_dn>))</user_dn>，或更优解：用tokenGroups属性（AD 特有，需开启LDAP_SERVER_SD_FLAGS_OID控制项） - 所有 modify 操作必须确保 bind 账号有足够权限；AD 中普通用户默认不能改自己密码，需管理员 bind 后代为执行
- 错误码
"Constraint violation"多半是密码策略不符（长度、历史记录、复杂度），不是代码逻辑错——要捕获并转成用户友好的提示
