LDAP 请求能够到达服务器，并不代表完整认证交换已被正确验证。代理线路又增加了一层传输，因此必须分别判断连通性、TLS 身份校验、SASL 协商和最终授权。
本指南提供一套获授权的回归方法。依据 curl 项目于 2026 年 9 月 2 日发布的 CVE-2026-13608，问题影响使用 OpenLDAP 后端的 curl 与 libcurl 构建：在非 TLS 的 LDAP:// 路径上，不完整的 SASL 握手可能被误认为已成功完成加密验证。LDAPS:// 不会到达该路径，因为客户端会先验证服务器证书。
测试目标是防御性验证。代理只是测试变量，不能代替身份校验。
确认窄触发条件
在调整代理配置前逐项核对：
- 实际进程加载 curl 或 libcurl 7.82.0 至 8.21.0；
- libcurl 使用 OpenLDAP 后端构建；
- 应用使用 SASL 认证；
- 请求使用明文
LDAP://，而不是校验证书的LDAPS://； - 网络路径可能返回不完整或过早结束的协商响应。
curl 8.22.0 及更高版本已修复，官方还列出维护版本 8.20.1、8.16.1 和 8.14.2。容器、语言绑定和静态构建可能不使用主机包管理器显示的版本，因此必须从实际工作进程采集运行时身份。
分开四类结果
每次测试都应明确归类：TCP 传输已建立、TLS 证书链与主机名已通过、SASL 所有挑战响应已完成，以及认证身份获得预期目录授权。
不能用一次成功查询替代前三项证据，否则无法判断真正通过的是哪一道边界。
需要隔离 TLS 策略时使用代理 TLS 信任配置隔离指南；间歇失败则按代理支持升级资料包指南整理脱敏证据。
建立隔离 LDAP 测试台
使用组织自有目录服务器、最低权限的一次性测试凭据和合成目录条目，并把环境放在隔离测试网络。不得使用生产身份或客户记录。
建立直连对照、获准的 TCP 转发代理线路、应用正式支持的隧道线路、作为安全协议对照的 LDAPS://，以及仅用于隔离环境覆盖窄触发路径的 LDAP://。
各组保持端点、账户、SASL 机制、查询和响应一致，每次只改变协议或线路变量。
记录完整握手
为测试分配 case ID，并记录不含秘密的状态：地址选择、连接建立、代理协商、LDAPS 的 TLS 启动与证书结果、SASL 机制选择、按序号记录的挑战响应阶段、明确的 SASL 完成状态、授权结果与清理事件。
可记录耗时、结果码、curl 运行版本、LDAP 后端、线路类型和连接是否复用。不得记录密码、令牌、原始 SASL 数据、私钥、代理凭据或目录内容。
执行基线矩阵
先用已修复客户端建立正常基线：
- 通过 LDAPS 连接并核验证书结果；
- 用有效的一次性凭据完成 SASL；
- 使用故意无效的凭据并要求明确拒绝；
- 在每条获准代理线路重复；
- 确认所有成功案例都有显式 SASL 完成事件；
- 确认失败在目录授权前停止；
- 使用全新进程重复，排除缓存连接状态。
之后仅在隔离测试台运行受影响构建。使用可控测试端模拟提前结束 SASL 交换，安全预期必须是失败。不得对公开或第三方目录搭建拦截测试。
谨慎测试连接复用
加入有限场景：有效绑定后同连接查询、前一有效进程退出后执行无效绑定、同身份边界复用池化连接、保持端点与凭据不变但更换线路、代理隧道在 SASL 阶段关闭、显式完成前超时，以及协商期间取消请求。
任何中断都必须关闭或隔离连接，不能把部分认证连接放回通用池。连接池键应包含端点、安全协议、信任配置、SASL 机制和身份边界，而不只是代理主机名或出口 IP。
比较代理行为但不要误判责任
代理可能延迟或关闭传输，却不能替 LDAP 客户端确认目录服务器身份。如果只有一条线路失败，应比较具体握手阶段、耗时、隧道结果和复用决策。
不要不断轮换住宅代理 IP，直到偶然成功。这样会破坏可复现性并掩盖不完整认证。固定线路重复同一 case，判断故障位于传输、TLS、SASL 还是授权层。
升级与验证
升级至 curl 8.22.0 或更高版本，或采用明确包含相关补丁的供应商构建。重启长期运行的工作进程，清理旧 LDAP 池化连接，再重跑矩阵。
若暂时不能升级，公告建议避免使用不带 TLS 的 LDAP://。优先采用严格校验证书链与主机名的 LDAPS://。不能为了让代理线路连通而关闭证书验证，否则只是把一种身份问题换成另一种。
发布时比较认证失败、不完整握手拒绝、TLS 错误、复用率和延迟。合格版本应保持有效流量正常，并拒绝所有过早结束或无效的交换。
验收清单
- [ ] 从实际进程采集 curl 版本与 OpenLDAP 后端。
- [ ] 分别统计 LDAP 和 LDAPS 使用。
- [ ] SASL 机制与完成状态可观察。
- [ ] 有效凭据成功，无效凭据失败。
- [ ] 提前结束的交换安全失败。
- [ ] 部分认证连接不会返回连接池。
- [ ] 直连与获准代理线路产生可比较证据。
- [ ] LDAPS 证书与主机名校验始终启用。
- [ ] 工作进程使用 curl 8.22.0 或已验证补丁构建。
- [ ] 已重启或排空旧进程与旧连接。
- [ ] 日志不含凭据、原始 SASL 数据或目录记录。
常见问题
所有 LDAP 客户端都受影响吗？
不是。公告限定于受影响版本中使用 OpenLDAP 后端、SASL 认证和非 TLS LDAP 路径的 curl/libcurl。
使用代理能修复握手吗？
不能。代理负责传输字节，客户端仍需验证服务器并完整完成 SASL。
此问题会影响 LDAPS 吗？
官方说明该窄路径不会在 LDAPS 中触发，因为冒充端会先在证书验证阶段被拒绝。
来源与合规说明
内部研究依据：curl 项目安全公告《OpenLDAP SASL authentication bypass》，CVE-2026-13608，发布于 2026 年 9 月 2 日；curl 8.22.0 发布信息。外部研究网址仅保存在内部运营记录中，本文不含外部链接。
仅测试您拥有或获授权评估的目录系统、账户、代理线路和网络，并遵守访问控制、隐私义务、供应商限制与组织变更流程。
