如何用单次LDAP查询验证C#中用户的组成员身份？

单次查询实现 #

可以通过AD支持的LDAP子查询实现一次验证，无需先查询组的DN。核心思路是直接搜索目标组，同时验证该组的member属性是否包含指定用户名对应的用户对象。

改进后的C#代码 #

using var ldapConnection = new LdapConnection(new LdapDirectoryIdentifier(myServer, myPort));
var networkCreds = new NetworkCredential(myUserName, myPassword, myDomain);
ldapConnection.Bind(networkCreds);

// 转义参数避免LDAP注入风险
var escapedUserName = LdapFilter.EscapeFilter(myUserName);
var escapedGroupName = LdapFilter.EscapeFilter(myGroupName);

var userStore = "DC=domain,DC=local";
// 过滤条件：搜索组，组名匹配，且成员包含指定用户
var searchFilter = $"(& (objectClass=group) (sAMAccountName={escapedGroupName}) (member= (sAMAccountName={escapedUserName})))";

var searchRequest = new SearchRequest(
    userStore, 
    searchFilter, 
    System.DirectoryServices.Protocols.SearchScope.Subtree, 
    Array.Empty<string>() // 不需要返回属性，只需要判断是否有结果
);

var response = (SearchResponse)ldapConnection.SendRequest(searchRequest);
return response.Entries.Count > 0;

代码说明 #

• 使用LdapFilter.EscapeFilter处理用户名和组名，避免特殊字符（如*、(、)）导致的查询错误或LDAP注入风险。
• 过滤条件通过子查询(member= (sAMAccountName={escapedUserName}))自动关联用户的DN，无需单独查询用户信息。
• 不需要返回任何属性，设置Array.Empty<string>()可以减少网络传输数据，提升效率。

如果需要支持嵌套组验证（即用户属于组的子组也算作该组成员），可以改用memberof的递归匹配规则1.2.840.113556.1.4.1941，此时过滤条件调整为：

// 递归验证用户是否属于组（包括嵌套组）
var searchFilter = $"(& (objectClass=user) (sAMAccountName={escapedUserName}) (memberof:1.2.840.113556.1.4.1941:= (sAMAccountName={escapedGroupName})))";

这种方式是直接查询用户，验证其是否属于目标组的递归成员，同样只需一次查询。

userStore参数最优配置建议 #

userStore即LDAP查询的搜索根路径（SearchBase），配置原则如下：

• 最小范围优先：如果明确知道用户和组都存储在某个特定OU（如OU=Employees,DC=domain,DC=local），就用该OU的DN作为SearchBase，缩小搜索范围，提升查询速度。
• 全局兼容用域根：如果用户和组分布在域内多个OU，或者不确定具体位置，直接使用域的根DN（如DC=domain,DC=local）是最稳妥的选择，不会遗漏数据。
• 避免跨域范围：如果你的环境是多域森林，不要随意指定其他域的DN作为SearchBase，除非你的LDAP连接明确支持跨域查询，否则会导致查询失败或无结果。

内容的提问来源于stack exchange，提问作者LA.27