如何在LDAP搜索请求中按属性值过滤返回的属性？

结论 #

原生标准LDAP搜索请求不支持直接按属性值过滤返回的属性列表，但可以通过以下两种方式实现需求：

1. 客户端Post-Query过滤（通用兼容方案） #

先通过LDAP请求获取目标属性的所有值，再在客户端本地筛选符合条件的条目。

• 操作流程：比如查询用户时，指定返回mail, cn, memberOf属性；拿到结果后，在客户端代码中过滤memberOf里匹配CN=Users,OU=Groups,DC=foo,DC=com、CN=HR,OU=Groups,DC=foo,DC=com等指定DN的条目。
• 优势：所有LDAP服务器都支持，实现简单。
• 劣势：如果属性值数量极大（如100+条memberOf），会传输多余数据，占用带宽。

2. 依赖LDAP服务器的扩展控件（服务器端过滤方案） #

部分厂商的LDAP服务器提供了扩展控件，支持在服务器端直接过滤属性值后返回：

• Active Directory：支持LDAP_MATCHED_VALUES控件（OID: 1.2.840.113556.1.4.2026）。配置该控件后，可在搜索时对多值属性（如memberOf、supportedControl）指定值匹配规则，服务器仅返回符合条件的属性值。
• OpenLDAP：可通过rwm Overlay配置属性值过滤规则，或使用较新版本支持的扩展控件实现类似功能，需要提前在服务器端配置。
• 其他厂商服务器：如Oracle Directory Server、IBM Security Directory Server等，也可能提供专属的属性值过滤扩展，需查阅对应官方文档确认支持情况。

注意：这类功能不属于标准LDAP协议（RFC 4511）定义的内容，属于厂商扩展，不同服务器的实现方式和支持程度差异较大。

内容的提问来源于stack exchange，提问作者LeGEC