LDAP简介及其使用

短命女 2022-08-06 05:25 505阅读 0赞

#  #

## LDAP简介 ##

[LDAP][](Lightweight Directory Access Protocol)的意思是"轻量级目录访问协议"，是一个用于访问"目录服务器"(Directory Servers)的协议。这里所谓的"目录"是指一种按照树状结构存储信息的数据库。这个概念和硬盘上的目录结构类似，不过LDAP的"根目录"必须是"The world"，并且其一级子目录必须是"countries"。二级目录通常包含有公司(companies)、组织(organisations)、地点(places)等等……相应的三级子目录通常会包含人员(people)、设备(equipment)、文档(documents)等等……

当你引用硬盘上的文件时，通常是这样的：

/usr/local/myapp/docs

正斜杠(/)在这里表示级别分界线，并且从左向右阅读。

而在LDAP中则通过"distinguished name"(简称"dn")来表示文件，通常像下面这样：

cn=John Smith,ou=Accounts,o=My Company,c=US

逗号(,)在这里表示级别分界线，并且从右向左阅读。上述dn可以理解为：

country = US
       organization = My Company
       organizationalUnit = Accounts
       commonName = John Smith

术语对比：

dn,entry	目录/文件
    attribute	属性
    value		值

与硬盘目录一样，目录服务器上的目录结构也没有任何限制，这就意味着你必须了解一些服务器的结构信息才能写程序。

更多关于LDAP的信息可以在下面两个URL找到：  
[Mozilla][]  
[OpenLDAP Project][]

## 安装与配置 ##

PHP默认并不启用LDAP支持，PHP的LDAP模块依赖于[OpenLDAP][]或[bind9.net][]提供的客户端LDAP库，你必须在编译的时候使用 --with-ldap\[=DIR\] 才行，如果你想要SASL支持，那还必须使用 --with-ldap-sasl\[=DIR\] 选项，而且你的系统中必须有 sasl.h 头文件才行。

LDAP模块的行为受下面的配置指令的影响

<table style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; vertical-align:middle; border:1px solid rgb(17,17,17); border-collapse:collapse; margin:4px; color:rgb(0,0,0)"> 
 <tbody> 
  <tr> 
   <th style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; border:1px solid rgb(153,153,153); padding:4px"> 指令</th> 
   <th style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; border:1px solid rgb(153,153,153); padding:4px"> 数据类型</th> 
   <th style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; border:1px solid rgb(153,153,153); padding:4px"> 作用域</th> 
   <th style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; border:1px solid rgb(153,153,153); padding:4px"> 默认值</th> 
   <th style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; border:1px solid rgb(153,153,153); padding:4px"> 解释</th> 
  </tr> 
  <tr> 
   <td style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; border:1px solid rgb(153,153,153); padding:4px"> ldap.max_links</td> 
   <td style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; border:1px solid rgb(153,153,153); padding:4px"> 整数</td> 
   <td style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; border:1px solid rgb(153,153,153); padding:4px"> PHP_INI_SYSTEM</td> 
   <td style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; border:1px solid rgb(153,153,153); padding:4px"> -1</td> 
   <td style="font-family:JinBuGuoWebMono,'Ubuntu Mono',Terminal,Menlo,monospace; border:1px solid rgb(153,153,153); padding:4px"> 每进程允许的最大LDAP连接数。"-1"表示无限制。</td> 
  </tr> 
 </tbody> 
</table>

## 编程步骤 ##

在进行LDAP编程之前，你必须知道目录服务器的下列信息：

*  服务器的IP地址(主机名)以及端口号
 *  服务器的"base dn"(也就是"the world"目录下的子目录，比如："o=My Company,c=US")
 *  访问服务器的用户名(RDN)和密码(许多服务器允许"匿名绑定"来读取信息，但是其他操作必须有密码才行)

一般的LDAP编程步骤如下：

1.  ldap\_connect() // 连接到LDAP服务器
2.  ldap\_bind() // 匿名登陆或者认证登陆
3.  做一些操作，比如读取、添加、删除等...
4.  ldap\_unbind() // 关闭连接

## LDAP常用函数简介 ##

**resource ldap\_connect (\[ string $hostname = NULL \[, int $port = 389 \]\] )**

使用指定的主机名($hostname)和端口($port)连接到LDAP服务器。

$hostname

主机名，如果服务器端是 OpenLDAP 2.x.x 或更高版本，那么还可以使用 ldap://hostname/ 格式(URL格式)。  
要使用SSL连接，那么必须确保OpenLDAP和PHP都带有SSL支持，并使用 ldaps://hostname/ 的格式。  
如果使用空格分隔的主机名列表(比如"192.168.0.100:389 192.168.0.101")，那么此函数将依次尝试直到连接成功为止。

$port

连接的端口(默认为389)。在使用URL格式的时候不需要使用此参数，直接在URL里面指明即可(ldap://hostname:port/)。

连接成功则返回一个LDAP连接标识符，连接失败则返回 FALSE 。  
如果服务器端是 OpenLDAP 2.x.x 或更高版本，那么此函数将始终返回一个LDAP连接标识符，而永远不会失败。实际的连接动作将在接下来调用 ldap\_\* 函数\[通常是ldap\_bind()\]时执行。  
如果不带任何参数调用此函数，则返回上一次连接已经打开的连接标识符。

**bool ldap\_bind ( resource $link\_identifier \[, string $bind\_rdn = NULL \[, string $bind\_password = NULL \]\] )**

使用指定的RDN($bind\_rdn)和密码($bind\_password)绑定到LDAP目录。

$link\_identifier

ldap\_connect()函数返回的LDAP连接标识符

$bind\_rdn  
$bind\_password

绑定时使用的RDN(Relative Distinguished Name)和密码。如果未指定则使用匿名认证。

绑定成功返回 TRUE 否则返回 FALSE 。

**string ldap\_error ( resource $link\_identifier )**

检索LDAP操作的错误信息。

$link\_identifier

ldap\_connect()函数返回的LDAP连接标识符

返回指定的连接标识符上最近一次LDAP操作的错误信息。

**bool ldap\_get\_option ( resource $link\_identifier , int $option , mixed &$retval )  
bool ldap\_set\_option ( resource $link\_identifier , int $option , mixed $newval )**

获取/设置LDAP选项的值。

$link\_identifier

ldap\_connect()函数返回的LDAP连接标识符

$option

LDAP选项名称，主要的选项及其数据类型如下：

LDAP\_OPT\_DEREF(int)

搜索的时候如何处理别名，取值范围如下：LDAP\_DEREF\_NEVER(0,默认值), LDAP\_DEREF\_SEARCHING(1), LDAP\_DEREF\_FINDING(2), LDAP\_DEREF\_ALWAYS(3)

LDAP\_OPT\_NETWORK\_TIMEOUT(int)

网络超时秒数，LDAP\_NO\_LIMIT(0,默认值)表示永不超时。

LDAP\_OPT\_PROTOCOL\_VERSION(int)

指定使用的LDAP协议版本，取值范围如下：LDAP\_VERSION2(2,默认值), LDAP\_VERSION3 (3)。

LDAP\_OPT\_REFERRALS(bool)

LDAP库是否自动追随LDAP服务器返回的引用，取值范围如下：TRUE(1,默认值), FALSE(0)。

&$retval

接受选项值的变量

$newval

选项的新值

获取/设置成功返回 TRUE 否则返回 FALSE 。

**bool ldap\_add ( resource $link\_identifier , string $dn , array $entry )  
bool ldap\_delete ( resource $link\_identifier , string $dn )**

在LDAP目录中添加/删除一个项。

$link\_identifier

ldap\_connect()函数返回的LDAP连接标识符

$dn

将要添加/删除的项目名称(distinguished name)。

$entry

指定新项内容的关联数组(attribute=>value)。如果value也是一个数组，那么必须是从0开始的索引数组。例如：

$entry["bool"]='TRUE';
    $entry["int"]='-3';
    $entry["mail"]='jonj@example.com';
    $entree["tel"][0] = "2222222";
    $entree["tel"][1] = "4444444";

添加/删除成功返回 TRUE 否则返回 FALSE 。

**mixed ldap\_compare ( resource $link\_identifier , string $dn , string $attribute , string $value )**

检查LDAP目录项$dn的$attribute属性值与给定的$value是否相同。注意：不能用来比较二进制数据！

$link\_identifier

ldap\_connect()函数返回的LDAP连接标识符

$dn

LDAP项的名称(distinguished name)

$attribute

属性名

$value

给定的值

相同返回 TRUE ，不同返回 FALSE ，遇见错误返回 -1

**resource ldap\_read ( resource $link\_identifier , string $base\_dn , string $filter \[, array $attributes \[, int $attrsonly \[, int $sizelimit \[, int $timelimit \[, int $deref \]\]\]\]\] )  
resource ldap\_list ( resource $link\_identifier , string $base\_dn , string $filter \[, array $attributes \[, int $attrsonly \[, int $sizelimit \[, int $timelimit \[, int $deref \]\]\]\]\] )  
resource ldap\_search ( resource $link\_identifier , string $base\_dn , string $filter \[, array $attributes \[, int $attrsonly \[, int $sizelimit \[, int $timelimit \[, int $deref \]\]\]\]\] )**

使用指定的过滤器搜索LDAP目录。三个函数的不同之处在于搜索范围不同：  
read仅搜索$base\_dn本身(LDAP\_SCOPE\_BASE)，相当于从目录中读取一个条目(entry)。  
list仅搜索$base\_dn的下一级对象(LDAP\_SCOPE\_ONELEVEL)，不包含本身，相当于"ls"命令。  
search搜索$base\_dn本身及其所有子对象(LDAP\_SCOPE\_SUBTREE)，相当于搜索整个目录树。

$link\_identifier

ldap\_connect()函数返回的LDAP连接标识符

$base\_dn

将要被搜索的目录的DN

$filter

搜索过滤器。比如"(objectClass=\*)"表示搜索所有条目(对于read函数则表示所有属性)。  
其语法规则在 [RFC2254][]中描述，例如："(|(sn=$person\*)(givenname=$person\*))"

$attributes

需要检索的属性名称数组，比如：array("mail", "sn", "cn")。  
注意：不管有没有指定，"dn"属性的值总会被返回。  
如果不指定此参数，那么将返回所有的属性值。

$attrsonly

默认值"0"表示同时获取属性的类型(attribute type)和属性的值(attribute value)。  
非默认值"1"表示仅获取属性的类型(attribute type)。

$sizelimit

限定最多返回多少条记录。默认值"0"表示没有限制。注意：这个参数不能超越服务器的限制。

$timelimit

限定搜索操作最大允许进行多少秒。默认值"0"表示没有限制。注意：这个参数不能超越服务器的限制。

$deref

指定搜索的时候如何处理别名。取值范围如下：

LDAP\_DEREF\_NEVER(默认)

在搜索中或者查找那基础对象时做不复引用别名

LDAP\_DEREF\_SEARCHING

在基础对象的附属的搜索中而不是查找那基础对象时做复引用别名

LDAP\_DEREF\_FINDING

在基础对象而不是其附属的搜索中做复引用别名

LDAP\_DEREF\_ALWAYS

在搜索中或者查找那基础对象时做都复引用别名

成功返回一个结果集的资源描述符，通常被其他函数以$result\_identifier引用，失败返回FALSE

**array ldap\_get\_entries ( resource $link\_identifier , resource $result\_identifier )**

返回前一次搜索操作的结果集，包括每一项的属性和属性值。

$link\_identifier

ldap\_connect()函数返回的LDAP连接标识符

$result\_identifier

ldap\_read/ldap\_list/ldap\_search函数返回的结果集的资源描述符。

成功返回一个包含结果集的多维数组，失败返回FALSE。  
注意：结果集数组的属性索引将被转换成小写字母(对于LDAP来说属性是大小写无关的)。  
结果集数组的结构如下所示：

return_value["count"] = 结果集中的条目总数(包含第零项)
    return_value[0] : 对结果集中第零项(一般不同于后面的常规项)的详细信息的引用
    
    return_value[i]["dn"] =  结果集中第 i 个条目的 DN
    return_value[i]["count"] = 结果集中第 i 个条目的属性数量
    return_value[i][j] = 结果集中第 i 个条目的第 j 个属性
    
    return_value[i]["attribute"]["count"] = 结果集中第 i 个条目的"attribute"属性的值的数量
    return_value[i]["attribute"][j] = 结果集中第 i 个条目的"attribute"属性的第 j 个值

**bool ldap\_unbind ( resource $link\_identifier )**

解除绑定，也就是关闭LDAP连接。

$link\_identifier

ldap\_connect()函数返回的LDAP连接标识符

成功返回 TRUE 否则返回 FALSE 。

[LDAP]: http://zh.wikipedia.org/wiki/%E8%BD%BB%E5%9E%8B%E7%9B%AE%E5%BD%95%E8%AE%BF%E9%97%AE%E5%8D%8F%E8%AE%AE
[Mozilla]: https://wiki.mozilla.org/Directory
[OpenLDAP Project]: http://www.openldap.org/
[OpenLDAP]: ftp://ftp.openldap.org/pub/OpenLDAP/openldap-release/
[bind9.net]: http://www.bind9.net/download-openldap/
[RFC2254]: http://www.ietf.org/rfc/rfc2254.txt