ad 属性组 全名 CN=AAA,OU=BBB,,DC=baidu,DC=com,DC=cn php ldap 获取 这个属性组里面的所有成员

我自己亲自做的:   OK  OOK   有大用 有大大用

下面给你一个完整、可直接用的 PHP + LDAP 示例，用于从 AD 里读取指定“属性组 / 安全组”中的所有成员。

你的组 DN 是：

CN=AAA,OU=BBB,DC=baidu,DC=com,DC=cn

    

一、核心思路（AD 里是怎么存的）

在 Active Directory 中：

• 组对象有属性：member

• member 是一个 DN 列表，每一项都是一个用户 / 组的 DN

• PHP 通过 ldap_search() 或 ldap_read() 读取这个属性即可

二、PHP 获取组成员（基础版，常用）

1️⃣ 示例代码

<?php

$ldapHost = "ldap://your-ad-server.luxshare.com.cn";
$ldapUser = "LUXSHARE\\ldapbinduser";   // 域账号
$ldapPass = "password";
$baseDn   = "DC=baidu,DC=com,DC=cn";

$groupDn = "CN=AAA,OU=BBB,DC=baidu,DC=com,DC=cn";

// 连接
$ldapConn = ldap_connect($ldapHost);
ldap_set_option($ldapConn, LDAP_OPT_PROTOCOL_VERSION, 3);
ldap_set_option($ldapConn, LDAP_OPT_REFERRALS, 0);

// 绑定
if (!ldap_bind($ldapConn, $ldapUser, $ldapPass)) {
    die("LDAP bind failed");
}

// 只读取 group 对象本身
$filter = "(objectClass=group)";
$attrs  = ["member"];

$result = ldap_read($ldapConn, $groupDn, $filter, $attrs);
$entries = ldap_get_entries($ldapConn, $result);

$members = [];

if ($entries["count"] > 0 && isset($entries[0]["member"])) {
    for ($i = 0; $i < $entries[0]["member"]["count"]; $i++) {
        $members[] = $entries[0]["member"][$i];
    }
}

// 输出成员 DN
print_r($members);

ldap_unbind($ldapConn);

    

2️⃣ 输出结果示例

Array
(
    [0] => CN=ZhangSan,OU=Users,DC=baidu,DC=com,DC=cn
    [1] => CN=LiSi,OU=Users,DC=baidu,DC=com,DC=cn
    [2] => CN=IT-Group,OU=Groups,DC=baidu,DC=com,DC=cn
)

    

⚠️ 注意：

• member 里可能包含“用户 + 嵌套组”

• 上面拿到的是 DN，不是工号/邮箱

三、把成员 DN 再解析成用户名 / 邮箱（实战必用）

示例：获取 sAMAccountName、mail

$userAttrs = ["sAMAccountName", "mail", "displayName"];
$userList = [];

foreach ($members as $memberDn) {
    $res = ldap_read($ldapConn, $memberDn, "(objectClass=*)", $userAttrs);
    $info = ldap_get_entries($ldapConn, $res);

    if ($info["count"] > 0) {
        $userList[] = [
            "account" => $info[0]["samaccountname"][0] ?? "",
            "name"    => $info[0]["displayname"][0] ?? "",
            "mail"    => $info[0]["mail"][0] ?? "",
        ];
    }
}

print_r($userList);

    

四、如果组里有「嵌套组」（Exchange/AD 很常见）

方案 1（推荐）：使用 AD 的 LDAP_MATCHING_RULE_IN_CHAIN          #OK　有大用

$filter = "(&(objectCategory=person)(objectClass=user)(memberOf:1.2.840.113556.1.4.1941:=$groupDn))";
$attrs = ["sAMAccountName", "mail", "displayName"];

$result = ldap_search($ldapConn, $baseDn, $filter, $attrs);
$entries = ldap_get_entries($ldapConn, $result);

    

✅ 这个能一次性展开所有嵌套组成员
❌ 只在 Active Directory 可用（OpenLDAP 不支持）

五、常见坑（你这种环境很可能会遇到）

❗ 1. 成员太多（>1500）

AD 会限制 member 返回数量：

• 解决方案：

• 用 LDAP_MATCHING_RULE_IN_CHAIN

• 或分页（ldap_control_paged_result）

❗ 2. Exchange Group

Exchange 创建的组：

• 本质仍然是 AD group

• member 属性正常存在

• 不影响 LDAP 读取 ✅

❗ 3. 权限不够

如果 member 读不到：

• 确认 bind 用户：

• 至少是 普通域用户

• 不要用被限制的服务账号

六、你如果需要，我可以继续帮你：

• ✅ 写成 函数版 / 类

• ✅ 递归展开嵌套组

• ✅ 只取启用账号

• ✅ 按工号 / 邮箱导出

• ✅ 处理 1500+ 成员分页

直接告诉我你现在的使用场景（登录校验 / 通讯录 / 权限控制 / 同步数据库）。