Microsoft Graph managedDevices多Contains $filter的OR逻辑异常排查求助

问题现象 #

使用Microsoft Graph查询deviceManagement/managedDevices时，多个contains结合OR的筛选逻辑出现异常：当两个contains使用相同搜索值时，即使其中一个条件满足，也无法返回结果，表现等价于AND逻辑；但当两个contains使用不同搜索值时，OR逻辑能正常工作。这与官方文档中OR逻辑支持的描述不符。

复现场景 #

假设有一台托管设备，属性如下：

• deviceName: computer-desktop
• userPrincipalName: someone@example.com

异常查询（应返回结果但无输出） #

1. 筛选条件：contains(deviceName, 'someone@example.com') or contains(userPrincipalName, 'someone@example.com')

   GET https://graph.microsoft.com/v1.0/deviceManagement/managedDevices?$filter=contains(deviceName, 'someone@example.com') or contains(userPrincipalName, 'someone@example.com')
   

   设备的userPrincipalName完全匹配搜索值，按OR逻辑应返回该设备，但实际无结果。

2. 对比测试（此查询本就无匹配，结果符合预期）：

   GET https://graph.microsoft.com/v1.0/deviceManagement/managedDevices?$filter=contains(deviceName, 'desktop-computer') or contains(userPrincipalName, 'desktop-computer')
   

正常工作的查询（不同搜索值） #

此查询中第二个contains条件满足，能正常返回目标设备：

GET https://graph.microsoft.com/v1.0/deviceManagement/managedDevices?$filter=contains(deviceName, 'desktop-computer') or contains(userPrincipalName, 'someone@example.com')

验证环境 #

已在两个独立的Azure AD租户中测试，均出现相同异常。

可能原因 #

1. Graph API解析Bug：当多个contains使用相同搜索值并通过OR连接时，查询解析器错误地将OR逻辑处理为AND，或对重复搜索值进行了无效优化。
2. 文档未明确限制：官方文档未提及使用相同搜索值的多contains+OR组合存在限制。

临时解决办法 #

1. 拆分查询后本地合并：将原OR条件拆分为两个独立查询，获取结果后在本地合并去重：

   • 查询设备名称匹配：GET https://graph.microsoft.com/v1.0/deviceManagement/managedDevices?$filter=contains(deviceName, 'someone@example.com')
   • 查询UPN匹配：GET https://graph.microsoft.com/v1.0/deviceManagement/managedDevices?$filter=contains(userPrincipalName, 'someone@example.com')

2. 临时修改搜索值（不推荐）：若业务允许，可对其中一个搜索值做微小修改（如添加空格），规避解析异常。此方法仅为临时规避，不适合生产环境。

建议操作 #

• 通过微软Graph官方支持渠道提交Bug反馈，提供租户测试信息和完整查询案例，推动官方修复。
• 关注微软Graph官方文档更新，确认是否新增相关筛选限制说明。

内容的提问来源于stack exchange，提问作者PaulieShore