Active Directory用户组检索：PHP与LDAP实践与优化

<?php

// 假设 $ldap 是已建立的LDAP连接资源
// 假设 $ldap_server_dn 是LDAP服务器的基础DN，例如 'DC=server,DC=com'
// 假设 $username 是要查询的用户名，例如 'userdp08'

// 1. 配置LDAP连接参数
$ldap_host = 'your_ad_server.com'; // AD服务器地址
$ldap_port = 389;                  // LDAP端口，通常是389或636(SSL)
$ldap_user = 'CN=LDAP Bind User,OU=ServiceAccounts,DC=server,DC=com'; // 具有查询权限的用户DN
$ldap_pass = 'YourPassword';       // 绑定用户的密码
$base_dn = 'DC=server,DC=com';     // 你的AD基础DN

// 建立LDAP连接
$ldap = ldap_connect($ldap_host, $ldap_port);

if (!$ldap) {
    die("无法连接到LDAP服务器");
}

// 设置LDAP选项，例如LDAP协议版本3
ldap_set_option($ldap, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldap, LDAP_OPT_REFERRALS, 0); // 禁用LDAP引用

// 绑定到LDAP服务器
if (!ldap_bind($ldap, $ldap_user, $ldap_pass)) {
    die("LDAP绑定失败: " . ldap_error($ldap));
}

// 2. 通过sAMAccountName查询用户的memberOf属性
// sAMAccountName通常是用户登录名，是索引属性，查询效率高
$filter = "(sAMAccountName={$username})";
$search_base = "OU=Users,{$base_dn}"; // 用户的OU，如果用户在多个OU，可能需要调整或使用更宽泛的base_dn
$attributes = ['memberOf']; // 只查询memberOf属性

echo "查询用户 '{$username}' 的 memberOf 属性...\n";
$result = ldap_search($ldap, $search_base, $filter, $attributes);

if ($result === false) {
    echo "LDAP搜索失败: " . ldap_error($ldap) . "\n";
} else {
    $entries = ldap_get_entries($ldap, $result);

    if ($entries['count'] > 0) {
        $user_entry = $entries[0];
        if (isset($user_entry['memberof'])) {
            echo "用户 '{$username}' 所属的组DNs:\n";
            foreach ($user_entry['memberof'] as $group_dn) {
                if (is_string($group_dn)) { // 确保是字符串类型的DN
                    echo "- " . $group_dn . "\n";
                }
            }
        } else {
            echo "用户 '{$username}' 没有 memberOf 属性或不属于任何组。\n";
        }
    } else {
        echo "未找到用户 '{$username}'。\n";
    }
}

// 3. 进一步获取组的CN (Common Name)
// memberOf属性返回的是组的DN，如果需要组的CN，需要进行二次查询

if (isset($user_entry['memberof']) && $user_entry['memberof']['count'] > 0) {
    echo "\n获取组的CN...\n";
    foreach ($user_entry['memberof'] as $group_dn) {
        if (is_string($group_dn)) {
            // 对每个组DN进行查询，获取其CN
            $group_filter = "(distinguishedName={$group_dn})"; // 使用DN进行精确匹配
            $group_attributes = ['cn']; // 只查询CN属性
            $group_search_base = $group_dn; // 搜索基准就是组的DN本身，或更宽泛的组OU

            // ldap_read 效率更高，因为它只读取一个条目
            $group_result = ldap_read($ldap, $group_search_base, $group_filter, $group_attributes);

            if ($group_result !== false) {
                $group_entries = ldap_get_entries($ldap, $group_result);
                if ($group_entries['count'] > 0 && isset($group_entries[0]['cn'][0])) {
                    echo "- 组DN: {$group_dn}, CN: {$group_entries[0]['cn'][0]}\n";
                } else {
                    echo "- 组DN: {$group_dn}, 无法获取CN\n";
                }
            } else {
                echo "- 查询组DN '{$group_dn}' 失败: " . ldap_error($ldap) . "\n";
            }
        }
    }
}


// 关闭LDAP连接
ldap_close($ldap);

?>