“纵有疾风来，人生不言弃”，这句话送给正在学习golang的朋友们，也希望在阅读本文《Golang 的 LDAP 客户端库如何使用证书？》后，能够真的帮助到大家。我也会在后续的文章中，陆续更新Golang相关的技术文章，有好的建议欢迎大家在评论留言，非常感谢！

问题内容
我正在尝试使用 Golang 的 LDAP 库连接到 G Suite 的 LDAPS 服务器。

但是，在这个例子中，我并没有真正理解两件事。

看起来它首先通过非加密的 LDAP 连接？然后就升级了？这是真的吗？如果是这样，我不能从加密连接开始吗？

Google 提供 .cer 和 .key 文件来连接到其 LDAP 服务器。我不知道它在哪里使用这些文件。我确实在他们的文档中看到许多 LDAP 客户端要求将文件组合成 .p12。这对于 Go 有必要吗？

如果回答这个问题的人可以提供一个例子，那确实会有帮助。谢谢。

解决方案

正如您所指出的，starttls 允许用户在连接生命周期稍后升级连接以使用 tls。

如果您想立即通过 tls 连接，请使用众所周知的 ldaps 端口 636（而不是 389） - 并使用 dialtls：

// l, err := ldap.dial("tcp", "ldap.example.com:389"))

var tlsconf *tls.config

ldaps, err := ldap.dialtls("tcp", "gsuite.google.com:636", tlsconf)
您还可以使用 dialurl，它通过架构推断 tls 或非 tls

conn, err := ldap.dialurl("ldap://ldap.example.com") // non-tls on default port 389
conn, err := ldap.dialurl("ldaps://ldap.example.com") // tls on default port 636
conn, err := ldap.dialurl("ldaps://myserver.com:1234") // tls on custom port 1234

// note: there is no way to add a custom tls.config with this method
因此，如果使用 dialtls：由于您使用的是 google 服务，因此它的信任证书应该已经在您的钥匙串中，因此一个简单的 tls.config 就足够了：

tlsconf = &tls.config{servername:"gsuite.google.com"} // <- ensure this matches the hostname provided by the server
如果您想开始运行测试：

// dont ever use this in production...
tlsconf = &tls.config{insecureskipverify: true} // do not use ever
添加客户端证书以进行客户端身份验证：

// Load cer & key files into a pair of []byte 
cert, err := tls.X509KeyPair(cer, key)
if err != nil {
    log.Fatal(err)
}
tlsCong := &tls.Config{Certificates: []tls.Certificate{cert}}