Novell.Directory.LDAP库是否防LDAP注入？需自行编码吗？

我来帮你梳理下这个问题，结合我对Novell.Directory.LDAP库的使用经验和LDAP注入防护的实践来说说：

核心结论：Novell.Directory.LDAP不会自动处理编码，LDAP注入风险必须自行防护 #

首先明确：这个库不会自动对搜索过滤器（filter）或区分名（DN）做注入防护编码。如果你的搜索参数里包含用户可控的输入（比如用户输入的用户名、部门名），直接拼接的话肯定存在LDAP注入风险——比如用户输入*)(objectClass=user))，可能会让过滤器变成(cn=*)(objectClass=user)))，从而返回所有用户数据，这是非常危险的。

为什么你用AntiXSSLibrary编码会报错？ #

你之前的问题出在错误地编码了整个过滤器或DN，而不是仅编码用户输入的变量部分：

• 对于Encoder.LdapFilterEncode()：它是用来转义过滤器中的特殊字符（比如*、(、)、\等），但如果你把整个过滤器（包括(cn=...)这种语法结构）都编码，会把括号、等号这些合法的过滤器语法字符也转义，导致LDAP服务器识别为无效过滤器，触发「Filter Error」。
• 对于Encoder.LdapDistinguishedNameEncode()：它是用来转义DN中的特殊字符（比如逗号、加号、引号等），但DN的结构是用逗号分隔的RDN（比如ou=Users,dc=example,dc=com），如果你把整个DN编码，会把逗号也转义，破坏了DN的层级结构，服务器自然会报「Invalid DN syntax」。
• 你用LdapFilterEncode()编码DN反而正常，只是巧合——Filter的转义规则没有破坏DN的结构，但这是完全错误的用法，不能依赖。

C#/.NET中正确且简单的LDAP输入编码方式 #

核心原则：只编码用户提供的变量部分，不要编码整个过滤器或DN模板。

1. 处理LDAP过滤器的用户输入 #

如果你的过滤器是模板化的（比如(cn={用户输入})），只对{用户输入}的部分编码：

方法一：使用AntiXSSLibrary（推荐）

// 假设userInput是用户输入的用户名（不可信数据）
string encodedUserInput = Encoder.LdapFilterEncode(userInput);
// 仅将编码后的变量拼进过滤器模板，不要编码整个filter
string filter = $"(&(objectClass=user)(cn={encodedUserInput}))";

// 后续正常调用Search，传入未编码的filter模板+编码后的变量组合
LdapSearchResults results = connection.Search(basedn, LdapConnection.SCOPE_SUB, filter, null, false, searchConstraints);

方法二：手动实现过滤器转义（无需额外库）

如果不想引入AntiXSSLibrary，可以手动转义LDAP过滤器的特殊字符：

public static string EscapeLdapFilter(string input)
{
    if (string.IsNullOrEmpty(input)) return input;
    
    return input.Replace("\\", "\\5c")
                .Replace("*", "\\2a")
                .Replace("(", "\\28")
                .Replace(")", "\\29")
                .Replace("\0", "\\00"); // 转义空字符
}

// 使用示例
string encodedUserInput = EscapeLdapFilter(userInput);
string filter = $"(&(objectClass=user)(cn={encodedUserInput}))";

2. 处理DN中的用户输入 #

如果你的basedn包含用户可控的部分（比如ou={用户输入的部门},dc=example,dc=com），同样只编码用户输入的变量：

方法一：使用AntiXSSLibrary（推荐）

// 假设userInputOU是用户输入的部门名称（不可信数据）
string encodedOU = Encoder.LdapDistinguishedNameEncode(userInputOU);
// 拼进DN模板
string basedn = $"ou={encodedOU},dc=example,dc=com";

// 后续正常调用Search
LdapSearchResults results = connection.Search(basedn, LdapConnection.SCOPE_SUB, filter, null, false, searchConstraints);

方法二：手动实现DN值转义（无需额外库）

DN需要转义的字符更多，包括逗号、加号、引号等，还有开头/结尾的空格、控制字符：

public static string EscapeLdapDnValue(string input)
{
    if (string.IsNullOrEmpty(input)) return input;
    
    StringBuilder sb = new StringBuilder();
    foreach (char c in input)
    {
        switch (c)
        {
            case ',': sb.Append("\\,"); break;
            case '+': sb.Append("\\+"); break;
            case '"': sb.Append("\\\""); break;
            case '\\': sb.Append("\\\\"); break;
            case '<': sb.Append("\\<"); break;
            case '>': sb.Append("\\>"); break;
            case ';': sb.Append("\\;"); break;
            case '#': sb.Append("\\#"); break;
            case '=': sb.Append("\\="); break;
            default:
                // 转义开头/结尾的空格，以及ASCII控制字符（0-31、127）
                if ((c == ' ' && (sb.Length == 0 || sb[sb.Length - 1] == ' ')) || char.IsControl(c))
                {
                    sb.Append($"\\{(int)c:X2}");
                }
                else
                {
                    sb.Append(c);
                }
                break;
        }
    }
    return sb.ToString();
}

// 使用示例
string encodedOU = EscapeLdapDnValue(userInputOU);
string basedn = $"ou={encodedOU},dc=example,dc=com";

最后再强调下防护要点 #

• 永远不要直接将用户输入拼进LDAP过滤器或DN，必须对用户可控的部分单独编码。
• Novell.Directory.LDAP库没有内置注入防护，所有编码工作都需要你自己完成。
• 编码的关键是只处理变量部分，不要破坏过滤器或DN本身的语法结构。

内容的提问来源于stack exchange，提问作者Onsokumaru