如何通过单条LDAP查询获取无福特汽车的用户？

针对你给出的LDAP架构，要获取未拥有福特（ford）汽车的用户，完全可以用单条查询完成，核心是利用LDAP的否定过滤+链式匹配规则排除存在brand=ford子条目的用户。

具体查询参数 #

• 基础DN：ou=users,dc=company,dc=com
• 过滤条件：

(&(objectClass=inetOrgPerson)(!(entryDN:1.2.840.113556.1.4.1941:=ou=car,uid=*,ou=users,dc=company,dc=com)(brand=ford)))

逻辑说明 #

1. objectClass=inetOrgPerson：限定查询对象为用户条目（如果你的用户使用其他对象类，比如posixAccount，替换为实际类即可）
2. !(entryDN:1.2.840.113556.1.4.1941:=ou=car,uid=*,ou=users,dc=company,dc=com)(brand=ford)：通过链式匹配规则（OID 1.2.840.113556.1.4.1941）递归检查用户的ou=car子树，排除其中存在brand=ford条目的用户。

简化替代方案（部分LDAP服务器支持） #

如果你的LDAP服务器（如OpenLDAP）支持简化子树过滤语法，也可以使用更简洁的过滤条件：

(&(objectClass=inetOrgPerson)(!(ou=car/*(brand=ford))))

内容的提问来源于stack exchange，提问作者user2602584