如何在LDAP中查询指定组内用户？现有memberOf过滤条件失效求助

先明确你的核心问题：组MyTest的完整DN（可分辨名称）应为CN=MyTest,OU=Domain_users,DC=my,DC=test，但你提供的路径和过滤器里写的DС是西里尔字母的С，不是标准LDAP要求的英文大写C，这是导致过滤器失效的首要致命错误。

过滤器失效的核心原因 #

• 字符格式错误：LDAP的域名组件属性DC必须使用英文大写C，西里尔字母的С会被LDAP服务器识别为无效属性，直接导致组DN无法解析。
• memberOf属性不完整：第一个过滤器仅写CN=MyTest，未使用完整DN。即使域内没有重名组，部分LDAP服务（比如Active Directory）也要求memberOf必须指定完整组DN才能准确定位。
• memberOf的范围限制：memberOf仅能查询直接加入目标组的用户，如果用户是通过嵌套组间接加入的，这个属性无法返回结果（不过你提到单独用户名过滤正常，先优先解决基础格式问题）。

修正后的可用过滤器 #

1. 基础组成员查询（仅直接成员） #

修正DN里的字符错误，使用完整正确的组DN：

(memberOf=CN=MyTest,OU=Domain_users,DC=my,DC=test)

2. 带多字段模糊匹配的组合过滤器 #

同样修正DN字符，保留原有的用户名、姓名等多字段模糊查询逻辑：

(&(|(sAMAccountName=*$str*)(givenName=*$str*)(sn=*$str*)(middlename=*$str*))(memberOf=CN=MyTest,OU=Domain_users,DC=my,DC=test))

额外排查建议 #

1. 验证组的完整DN：用LDAP管理工具（比如LDAP Admin）直接查询目标组，复制系统返回的完整DN，确保没有字符或格式错误。
2. 处理嵌套组场景：如果需要查询包含嵌套组的所有用户，Active Directory环境下可以使用递归匹配规则，过滤器修改为：

(&(|(sAMAccountName=*$str*)(givenName=*$str*)(sn=*$str*)(middlename=*$str*))(memberOf:1.2.840.113556.1.4.1941:=CN=MyTest,OU=Domain_users,DC=my,DC=test))

这个规则会递归遍历目标组下的所有嵌套组，返回所有关联用户。
3. 权限检查：确认执行查询的LDAP账号拥有读取目标组及用户memberOf属性的权限，避免因权限不足导致查询无结果。

内容的提问来源于stack exchange，提问作者ivekov