LDAP（Lightweight Directory Access Protocol，轻量级目录访问协议）是一种基于 TCP/IP 的应用层协议，用于访问和维护分布式目录信息服务。它并非数据库，而是一种专为读多写少、层级结构明确的场景设计的目录服务协议。典型如企业员工信息、组织架构、权限分组等数据，查询频次远高于修改频次，LDAP 正是为此类场景优化——OpenLDAP 实测中，10 万条用户记录下，单次查询平均耗时仅 3.2ms，而同等规模关系型数据库需 15–20ms。亿登科技在多个金融客户项目中采用 LDAP 作为统一身份底座，支撑日均 200 万+ 认证请求，无单点故障，可用性达 99.99%。
很多人误将 LDAP 当作‘另一种数据库’，这是根本性误解。关系型数据库（如 MySQL）以事务一致性、复杂 JOIN 和 ACID 为核心；LDAP 则采用树状 DIT（Directory Information Tree）结构，根节点通常是 dc=example,dc=com，分支为 ou=dept,ou=hr 等组织单元，叶子节点是 cn=user1 的具体条目。其 schema 强约束——每个条目必须符合 objectClass 规则，例如 inetOrgPerson 必须含 sn（surname）和 cn（commonName）。亿登科技交付的某省级政务平台中，通过定制化 LDAP schema 扩展了 employeeID、securityLevel、certStatus 等字段，并与 统一认证系统深度集成，实现人员入转调离自动同步，人力部门操作延迟从小时级降至秒级。
不依赖图形界面，纯命令行快速验证 LDAP 可用性。以 Ubuntu 22.04 为例：执行 apt install slapd ldap-utils，安装后运行 dpkg-reconfigure slapd 配置基础域（如 dc=yideng,dc=tech）；随后用 ldapadd -Y EXTERNAL -H ldapi:/// -f base.ldif 加载初始组织单元。关键在于 ACL 控制——默认配置允许本地 root 修改，但生产环境必须限制。亿登科技标准部署模板中，对 ou=apps 下的应用账号启用 read-only 权限，对 cn=admin,dc=yideng,dc=tech 启用 full write，且所有 bind 均强制 TLS（LDAPS 端口 636），禁用明文传输。我们曾协助某车企客户修复因 ACL 过宽导致的越权读取漏洞，将敏感字段（如 managerPassword）从 userPassword 替换为自定义加密属性，规避 LDAP 注入风险。
LDAP 并未被 OAuth2.0 或 OIDC 取代，而是成为其底层支撑。主流 IAM 方案中，LDAP 充当权威用户源（Source of Truth），OAuth2.0 负责授权流程，OIDC 提供身份断言。亿登科技推出的 OAuth2.0 单点登录方案，即以 OpenLDAP 为用户存储后端，Spring Authorization Server 为认证中心，前端 Vue 应用通过 /oauth2/authorize 接入。实测表明，相比纯数据库方案，引入 LDAP 后，用户同步延迟降低 76%，RBAC 权限变更响应时间从分钟级压缩至 800ms 内。值得注意的是，LDAP 不处理会话状态——亿登科技在某银行项目中，将 LDAP 用户属性映射为 JWT claim，由 Redis 缓存 token 绑定关系，既保留 LDAP 的高读性能，又满足无状态微服务需求。
LDAP 安全常被低估。第一，禁用匿名绑定（anonymous bind），生产环境必须设置 olcDisallows: bind_anon；第二，强制 LDAPS 或 StartTLS，避免密码明文抓包；第三，启用审计日志，OpenLDAP 的 accesslog overlay 可记录所有 modify/add 操作；第四，定期轮换管理员密码并启用 SASL/GSSAPI 认证；第五，网络隔离——亿登科技建议将 LDAP 服务器置于独立安全域，仅开放 389/636 端口给认证网关。某证券公司曾因未关闭匿名绑定，遭内部扫描工具批量获取员工邮箱，后续采用亿登科技定制的 安全合规加固方案，增加 BIND 失败锁定、IP 白名单及操作留痕，通过等保三级测评。