Python 3.10.7+ldap3 2.9.1查询AD邮箱偶现无结果求助

• 在从Active Directory（AD）查询邮箱地址及别名时，存在偶发无结果的异常（该邮箱实际存在于AD中）
• 针对同一邮箱执行100次循环测试，有7次未返回任何条目
• 当前环境：Python 3.10.7 + ldap3 2.9.1
• 疑问：是否存在ldap3已知Bug？或是虚拟机未加入域导致的问题？

相关代码：

# Search active directory for the user to see if they are still with the company 
def search_active_directory(email, domain, ad_password, ad_username):
    missing = 0
    # Connect to domain
    domain_connect = Connection(Server(domain, get_info=ALL),user=ad_username, password=ad_password, auto_bind=True)
    
    # Combine the parts into the full search filter
    search_filter = create_search_filter(email)

    # Define the attributes
    attributes = ['mail', 'proxyAddresses', 'userPrincipalName', 'targetAddress']
    the_emails = []
    
    for x in range(100):
        search_base = "DC=amer, DC=com"
        domain_connect.search(search_base, search_filter, SUBTREE, attributes=attributes)
            
        if len(domain_connect.entries) == 0:
            missing += 1
    return missing
    

# Help function to return the string for the search filter
def create_search_filter(email):
        user_account_control = "(!(userAccountControl:1.2.840.113556.1.4.803:=2))"
        mail = f"(mail={email})"
        proxy_addresses = f"(proxyAddresses=*{email}*)"
        user_principal_name = f"(userPrincipalName=*{email}*)"
        target_address = f"(targetAddress=*{email}*)"
        return f"(&{user_account_control}(|{mail}{proxy_addresses}{user_principal_name}{target_address}))"

1. 核心代码问题：LDAP过滤器语法错误 #

你的create_search_filter函数返回的过滤器中使用了&，这是HTML转义字符，而LDAP过滤器要求的逻辑与操作符是&。AD服务器无法正确解析&，会导致过滤器无效，这是偶发查询失败的最可能原因。

修复：
将过滤器中的&替换为&：

return f"(&{user_account_control}(|{mail}{proxy_addresses}{user_principal_name}{target_address}))"

2. 连接复用导致的状态异常 #

你在循环中重复使用同一个Connection对象，可能出现搜索状态未重置、连接超时或AD服务器断开连接未被检测到的情况，引发偶发无结果。

修复：
每次循环创建新连接，使用上下文管理器确保连接正确释放：

for x in range(100):
    with Connection(Server(domain, get_info=ALL), user=ad_username, password=ad_password, auto_bind=True) as conn:
        conn.search(search_base, search_filter, SUBTREE, attributes=attributes)
        if len(conn.entries) == 0:
            missing += 1

3. ldap3 2.9.1的已知问题 #

ldap3 2.9.x版本存在部分关于连接复用、搜索结果处理的偶发Bug，比如网络波动时未正确重试、搜索结果未完全清空等。如果上述修复后仍有问题，可尝试升级到最新稳定版（如3.x系列）。

4. 虚拟机未加入域的影响 #

虚拟机未加入域不会导致偶发查询失败，只会引发持续的连接或权限问题（比如无法解析域控制器、账号权限不足）。可以通过以下方式验证：

• 测试虚拟机到域控制器的389端口连通性（telnet/测试工具）
• 使用相同AD账号在AD用户和计算机中手动搜索目标邮箱，确认权限正常
• 若存在多域控制器，尝试指定具体IP而非域名，排除负载均衡节点异常

5. 添加异常排查 #

捕获ldap3的异常，记录失败的具体原因，便于定位问题：

from ldap3 import LDAPExceptionError

for x in range(100):
    try:
        with Connection(Server(domain, get_info=ALL), user=ad_username, password=ad_password, auto_bind=True) as conn:
            conn.search(search_base, search_filter, SUBTREE, attributes=attributes)
            if len(conn.entries) == 0:
                missing += 1
                print(f"第{x+1}次查询无结果")
    except LDAPExceptionError as e:
        missing += 1
        print(f"第{x+1}次查询失败: {str(e)}")

内容的提问来源于stack exchange，提问作者cloudiebro