LdapConnection 与 PrimaryContext

我有以下两种使用 LDAP 和 LDAPS 验证用户身份的实现，我想知道哪个更好/更正确。郑重声明，这两种方法都适用于 SSL 和非 SSL 连接。

我也很好奇，因为当在 Wireshark 上观看时Non-SSL PrincipalContext版本中，我仍然看到端口 636 上的流量。在四种组合中（Non-SSL LdapConnection, SSL LdapConnection, Non-SSL PrincipalContext, SSL PrincipalContext）它是唯一一个在端口 389 和 636 上都有流量的端口，而不仅仅是其中之一。可能是什么原因造成的？

LDAP连接方法：

bool userAuthenticated = false;
var domainName = DomainName;

if (useSSL)
{
  domainName = domainName + ":636";
}

try
{
  using (var ldap = new LdapConnection(domainName))
  {
    var networkCredential = new NetworkCredential(username, password, domainName);
    ldap.SessionOptions.VerifyServerCertificate = new VerifyServerCertificateCallback((con, cer) => true);
    ldap.SessionOptions.SecureSocketLayer = useSSL;
    ldap.SessionOptions.ProtocolVersion = 3;
    ldap.AuthType = AuthType.Negotiate;
    ldap.Bind(networkCredential);
  }

  // If the bind succeeds, we have a valid user/pass.
  userAuthenticated = true;
}
catch (LdapException ldapEx)
{
  // Error Code 0x31 signifies invalid credentials, anything else will be caught outside.
  if (!ldapEx.ErrorCode.Equals(0x31))
  {
    throw;
  }
}

return userAuthenticated;

主体上下文方法：

bool userAuthenticated = false;
var domainName = DomainName;

if (useSSL)
{
  domainName = domainName + ":636";
  ContextOptions options = ContextOptions.SimpleBind | ContextOptions.SecureSocketLayer;

  using (PrincipalContext pc = new PrincipalContext(ContextType.Domain, domainName, null, options))
  {
    userAuthenticated = pc.ValidateCredentials(username, password, options);
  }
}
else
{
  using (PrincipalContext pc = new PrincipalContext(ContextType.Domain, domainName))
  {
    userAuthenticated = pc.ValidateCredentials(username, password);
  }
}

return userAuthenticated;

@DTI-Matt，在上面的示例中，您使用VerifyServerCertificate总是返回的回调true。从本质上讲，这违背了通过 SSL 连接到 LDAP 的目的，因为没有执行真正的证书检查。

虽然您可以使用以下方法实现真正​​的证书检查X509Chain and/or X509Certificate2类，看来PrincipalContext为您处理支票。

总而言之，两者LdapConnection and PrincipalContext提供非常相似的功能，通过普通或 SSL 连接连接到 LDAP 服务器。你必须提供LdapConnection更多的手写代码才能正常工作。另一方面，PrincipalContext为您提供相同的功能，而需要手动编写的代码更少。

请注意，通过非 SSL 连接到端口 636（通过 SSL 的默认 LDAP 端口）PrincipalContext可以通过以下事实来解释：此类尝试尽可能安全地连接。