phpMyAdmin 5.2 不支持内置 LDAP 认证，必须由 Apache 通过 mod_authnz_ldap 完成前置鉴权，并将 REMOTE_USER 透传；phpMyAdmin 配置需设 auth_type = 'http'，禁用 user/password 字段，并确保 MySQL 存在对应用户或使用代理账号。
phpmyadmin 5.2 本身不支持 ldap 统一身份验证——它没有内置 ldap 认证逻辑，也不提供类似 $cfg['ldapauth'] 这样的配置项。所谓“用 phpmyadmin 配置 ldap”，实际是绕过它的 php 层认证，把认证责任交给 web 服务器（apache 或 nginx）。
Apache 的 mod_authnz_ldap 是唯一可靠路径
phpMyAdmin 5.2 只能被动接受 Web 服务器传来的已认证用户名（REMOTE_USER）。所以必须用 Apache 的 mod_authnz_ldap 模块完成实际绑定和搜索：
- 确认模块已启用：
a2enmod authnz_ldap（Debian/Ubuntu）或检查/etc/httpd/conf.modules.d/10-authnz_ldap.conf（RHEL/CentOS） - 确保系统级 OpenLDAP 客户端库存在：
ldapsearch -x -H ldap://your-ldap-server -b "dc=example,dc=com" "(uid=test)"能通 - 在 phpMyAdmin 所在的
<directory></directory>块中写明完整 LDAP 参数，不要只写AuthLDAPURL就完事：AuthType basic AuthName "LDAP Login" AuthBasicProvider ldap AuthLDAPURL "ldap://ldap.example.com/ou=People,dc=example,dc=com?uid?sub?(objectClass=posixAccount)" AuthLDAPBindDN "cn=admin,dc=example,dc=com" AuthLDAPBindPassword "secret" Require ldap-group cn=dba,ou=Groups,dc=example,dc=com
- 关键点：
AuthLDAPURL中的 base DN、attribute（如uid）、scope（sub）和 filter 必须与你的 LDAP 目录结构严格匹配；写错一个字符就会返回Authorization Required且无日志提示
phpMyAdmin 必须设为 auth_type = 'http'
否则它会忽略 Apache 设置的 REMOTE_USER，继续弹自己的登录框：
- 编辑
config.inc.php，找到或添加：$cfg['Servers'][$i]['auth_type'] = 'http';
- 删掉或注释掉所有
$cfg['Servers'][$i]['user']和$cfg['Servers'][$i]['password']—— HTTP 认证下它们无效，留着反而可能被误用 - 确保
$cfg['Servers'][$i]['host']指向本地 MySQL 实例（如'127.0.0.1'），而非 LDAP 服务器 - 若启用了
$cfg['LoginCookieRecall']，建议设为false：HTTP 认证不走 Cookie 登录流程，开启反而导致跳转异常
常见错误：Apache 认证成功但 phpMyAdmin 报 #1045 Cannot log in to the MySQL server
这不是 LDAP 问题，而是认证通过后，phpMyAdmin 试图用 LDAP 用户名去连 MySQL，但该用户在 MySQL 里根本不存在或没权限：
- MySQL 必须存在同名用户（例如 LDAP 中
uid=john→ MySQL 中要有CREATE USER 'john'@'localhost';） - 不能依赖
mysql_native_password插件自动映射；社区版 MySQL 不支持 LDAP 用户直通，必须手动建用户 +GRANT - 如果想免建大量用户，可创建一个通用代理账号（如
'pma_proxy'@'localhost'），再在 phpMyAdmin 配置中固定使用它：$cfg['Servers'][$i]['user'] = 'pma_proxy'; $cfg['Servers'][$i]['password'] = 'xxx';
但这会丢失用户级审计能力 - 检查 Apache 错误日志：
tail -f /var/log/apache2/error.log，真实 LDAP 绑定失败会在这里报ldap_simple_bind_s() failed，而不是 phpMyAdmin 界面里的模糊错误
最易被忽略的一点：LDAP 组权限（Require ldap-group）依赖于 AuthLDAPGroupAttribute 和 AuthLDAPGroupAttributeIsDN 的配合。默认情况下，Apache 会把组成员值当作 DN 处理；如果你的 LDAP 组里存的是 uid=john,ou=People,...，就得设 AuthLDAPGroupAttributeIsDN on；如果存的是纯 john，就得关掉并指定 AuthLDAPGroupAttribute uid。不匹配时，Require 判断永远失败，但日志里不会明说。
立即学习“PHP免费学习笔记（深入）”；
