LDAP配置中User Search Filter超256字符限制的解决方案咨询

针对过滤器超出256字符限制、且无法修改LDAP结构/数据的情况，以下是几个可落地的解决方案：

1. 拆分搜索请求，客户端合并去重 #

把原过滤器中过长的memberOf多条件OR拆分到多个独立的LDAP搜索请求里，每个请求的过滤器控制在256字符以内，最后在应用端合并所有搜索结果并去重。

以你的示例为例，可将11个memberOf条件分成2-3组，比如第一组过滤器：

(&
    (|
        (memberOf=CN=Applicazione_DocB_AmmApplicativo,OU=Intranet,OU=Gruppi,DC=CBMAIN,DC=CBDOM,DC=IT)
        (memberOf=CN=Applicazione_DocB_AmmPiattaforma,OU=Intranet,OU=Gruppi,DC=CBMAIN,DC=CBDOM,DC=IT)
        (memberOf=CN=Applicazione_DocB_ArchFIRead,OU=Intranet,OU=Gruppi,DC=CBMAIN,DC=CBDOM,DC=IT)
        (memberOf=CN=Applicazione_DocB_ArchFIWrite,OU=Intranet,OU=Gruppi,DC=CBMAIN,DC=CBDOM,DC=IT)
    )
    (|(userAccountControl=512)(userAccountControl=544)(userAccountControl=66048))
)

第二组过滤器：

(&
    (|
        (memberOf=CN=Applicazione_DocB_AreaFinanza,OU=Intranet,OU=Gruppi,DC=CBMAIN,DC=CBDOM,DC=IT)
        (memberOf=CN=Applicazione_DocB_Arm,OU=Intranet,OU=Gruppi,DC=CBMAIN,DC=CBDOM,DC=IT)
        (memberOf=CN=Applicazione_DocB_BoGestCanc,OU=Intranet,OU=Gruppi,DC=CBMAIN,DC=CBDOM,DC=IT)
        (memberOf=CN=Applicazione_DocB_BoUpdDocum,OU=Intranet,OU=Gruppi,DC=CBMAIN,DC=CBDOM,DC=IT)
    )
    (|(userAccountControl=512)(userAccountControl=544)(userAccountControl=66048))
)

剩余3个memberOf条件单独作为第三组请求。执行完所有请求后，将返回的用户DN集合合并、去重，即可得到最终符合条件的用户列表。

2. 先宽泛搜索，客户端后过滤 #

先使用简短过滤器搜索符合账号状态的用户，再在应用端检查这些用户的memberOf属性是否匹配目标组列表。

比如先用这个短过滤器执行搜索：

(&
    (objectClass=user)
    (|(userAccountControl=512)(userAccountControl=544)(userAccountControl=66048))
)

拿到所有活跃/允许登录的用户后，遍历每个用户的memberOf属性值，判断是否包含指定的11个组中的任意一个。这种方法仅需一次LDAP请求，后续逻辑在应用侧处理，适合用户总量不大的场景。

3. 调整LDAP服务器过滤器长度限制（若允许） #

如果客户业务政策仅限制修改LDAP结构/数据，不限制调整服务器配置，可联系LDAP管理员修改过滤器长度限制参数（比如OpenLDAP的slapd.conf中max_filter_size，或Active Directory的对应组策略设置）。不过该方案依赖服务器端配置权限，优先级低于前两个客户端侧方案。

内容的提问来源于stack exchange，提问作者RISHABH SHUKLA