如何在LDAP过滤器中指定组的容器路径并实现多属性过滤？

问题根源 #

直接把带通配符的distinguishedName当作LDAP过滤器使用是错误的——LDAP的distinguishedName属性要求精确匹配，不支持在属性值中间插入通配符，所以这种写法会返回0条结果。

解决方案 #

方案1：多属性组合过滤器 #

用LDAP的(&)逻辑运算符组合多个条件，同时匹配组名前缀和所在容器的位置：

写法一：匹配DN后缀

通过匹配distinguishedName的固定后缀，限定组所在的容器路径：

(&(cn=MY_GROUP_NAME_PATTERN_*)(distinguishedName=*,OU=FourthLevel,OU=ThirdLevel,OU=SecondLevel,OU=FirstLevel,DC=mydomain,DC=net))

这里的*代表任意组名前缀，后面跟固定的容器DN部分，实现仅匹配目标路径下的组。

写法二：匹配父容器属性

如果你的LDAP目录支持parent属性，可以直接指定组的父容器DN：

(&(cn=MY_GROUP_NAME_PATTERN_*)(parent=OU=FourthLevel,OU=ThirdLevel,OU=SecondLevel,OU=FirstLevel,DC=mydomain,DC=net))

方案2：设置搜索基路径（更高效） #

LDAP查询时除了过滤器，还可以指定搜索基（Search Base），直接把搜索范围限定在目标容器内：

• 搜索基设置为：OU=FourthLevel,OU=ThirdLevel,OU=SecondLevel,OU=FirstLevel,DC=mydomain,DC=net
• 过滤器使用：cn=MY_GROUP_NAME_PATTERN_*
• 搜索范围选择：根据需求选「仅当前层级（One Level）」或「所有子层级（Subtree）」

这种方式比多属性过滤器更高效，LDAP服务器会直接缩小搜索范围，不需要全目录筛选。

注意事项 #

• 确保查询账号有目标容器的读取权限
• 匹配DN时注意格式一致性，避免多余空格（比如示例中OU=FirstLevelNeighbor前的空格，实际DN通常无此空格）

内容的提问来源于stack exchange，提问作者MaestroGlanz