ldap连接失败首要排查dns解析，确认域名可达或改用ip；docker需用host.docker.internal或宿主机ip；自签名ldaps需跳过证书验证；错误码49多因dn格式不符ad或openldap规范；search为空应检查basedn、filter转义及权限；务必手动设置conn超时避免卡死。
LDAP连接失败：dial tcp: lookup ldap.example.com: no such host
这是开发环境最常卡住的第一步——DNS解析失败，不是代码写错了，而是没配好本地网络环境。Go 的 ldap.Dial 或 ldap.DialURL 会直接走系统 DNS，不会读取 /etc/hosts 以外的配置。
- 先用
ping ldap.example.com和nslookup ldap.example.com确认域名可达；不行就改用 IP 地址，比如ldap://10.1.2.3:389 - 若用 Docker 启动测试 LDAP 服务（如 osixia/openldap），宿主机 Go 程序必须连
host.docker.internal（Mac/Windows）或宿主机真实 IP（Linux），不能写localhost - 自签名 LDAPS 证书时，
ldap.DialTLS默认校验证书，要跳过得显式传&ldap.Conn{TLSConfig: &tls.Config{InsecureSkipVerify: true}}，但仅限调试
Bind 操作返回 “LDAP Result Code 49 “Invalid Credentials””
错误码 49 表面是密码错，实际在企业环境里，大概率是 DN 构造不对。AD 和 OpenLDAP 对绑定 DN 的格式要求差异很大，且不报具体哪部分错。
- AD 常用
CN=John Doe,OU=Users,DC=corp,DC=example,DC=com；OpenLDAP 更倾向uid=jdoe,ou=people,dc=example,dc=com - 别硬编码 DN 字符串，用
fmt.Sprintf拼接前，先确认 LDAP 目录树结构——用ldapsearch -x -H ldap://... -D "..." -W -b "dc=example,dc=com" "(objectClass=*)"手动查一遍 - Go 中调用
conn.Bind(dn, password)前，建议加日志打出来dn变量值，肉眼比对空格、大小写、转义字符（比如逗号、反斜杠）
Search 返回空结果但 Bind 成功
Bind 成功能说明账号密码和网络通了，但 Search 无结果，通常是 baseDN、filter 或 scope 设定太窄，或者权限不足导致不可见。
- baseDN 要够宽：比如想查所有用户，别写
ou=dev,dc=example,dc=com，先试dc=example,dc=com - filter 别漏转义：用户名含
@或\时，fmt.Sprintf("(sAMAccountName=%s)", username)会崩，得用ldap.EscapeFilter - AD 默认不返回
userPassword，OpenLDAP 若启用了ppolicy，匿名 bind 也查不到多数属性——确保 bind 用户有足够 read 权限
Go LDAP 客户端超时卡死，没有 error 提示
gopkg.in/ldap.v3 默认不设超时，一旦网络抖动或服务器无响应，conn.Bind 或 conn.Search 会卡满 TCP keepalive 时间（Linux 默认 7200 秒），看着像程序挂了。
立即学习“go语言免费学习笔记（深入）”；
- 必须手动设置：创建 conn 后立刻调
conn.SetTimeout(5 * time.Second)，搜索操作再单独设searchRequest.Timeout = 3 - 别依赖
context.WithTimeout包裹整个函数——LDAP 库本身不支持 context，只能靠底层 conn 超时机制 - 企业防火墙可能静默丢弃 LDAP 包，超时后应检查是否触发了
net.OpError，而不是只看err != nil
调试 LDAP 不是比谁写的代码短，是比谁更早看清目录结构、权限边界和网络路径。生产环境里，bind 用户的 DN、baseDN、filter 这三样，哪怕改一个字符，行为都可能完全不同。
