Authentik LDAP提供者OR过滤器异常：仅返回单一类型对象

问题现象 #

使用Authentik的LDAP提供者时，尝试用OR过滤器同时获取用户和组：

• 过滤器(|(objectClass=posixAccount)(objectClass=posixGroup))仅返回posixGroup对象
• 调换条件顺序为(|(objectClass=posixGroup)(objectClass=posixAccount))时，仅返回posixAccount对象
• 已知objectClass是多值属性，推测与问题相关

可能原因 #

Authentik的LDAP查询逻辑在处理多值属性的OR条件时，可能存在判断提前终止的问题：当匹配到OR条件中第一个符合的objectClass值后，就不再校验该对象的其他objectClass取值，导致最终只返回第一个条件对应的对象类型，而非所有满足任一条件的对象。

解决方案 #

1. 拆分查询后合并结果 #

这是最直接的临时解决方法：

• 单独执行(objectClass=posixAccount)获取所有用户对象
• 单独执行(objectClass=posixGroup)获取所有组对象
• 在业务代码或应用层将两个结果集合并

2. 调整过滤器语法适配多值属性 #

针对多值属性的特性，尝试使用更明确的匹配语法，强制遍历所有属性值：

(&(|(objectClass=posixAccount)(objectClass=posixGroup))(objectClass=*))

或者使用LDAP的匹配规则扩展：

(|(objectClass:caseExactMatch:=posixAccount)(objectClass:caseExactMatch:=posixGroup))

这类语法可以让LDAP提供者完整校验对象的所有objectClass取值，避免提前终止判断。

3. 检查Authentik版本与配置 #

• 升级Authentik到最新稳定版本，这类逻辑缺陷很可能在后续版本中被修复
• 查看LDAP提供者的配置项，确认是否存在限制返回对象类型的开关，确保未开启单一类型过滤

4. 反馈官方Issue #

如果以上方法都无效，基本可以确定是Authentik的LDAP实现存在逻辑问题。整理你的测试步骤、过滤器示例和结果，提交到Authentik官方仓库的Issue区，等待官方修复。

内容的提问来源于stack exchange，提问作者Tobias