使用Python ldap3构造带OR逻辑的LDAP过滤器报malformed filter错误的咨询

你遇到的malformed filter错误和OR逻辑本身的写法无关，核心原因是LDAP过滤器的括号配对不完整。LDAP过滤器语法要求所有逻辑运算节点（&、|、!）都必须用成对的括号包裹，你当前的OR版本漏了最外层AND逻辑的闭合右括号。

括号配对问题拆解 #

把错误代码按LDAP语法层级展开后，可以直观看到缺失的括号位置：

( &                                  # 最外层AND逻辑的开括号
  (objectClass=user)                # 第一个过滤条件，括号配对完整
  ( !                                # 非逻辑的开括号
    (userAccountControl:1.2.840.113556.1.4.803:=2)  # 账号未禁用判断条件，配对完整
  )                                  # 非逻辑的闭括号，配对完整
  ( |                                # OR逻辑的开括号
    (displayName={0}*)              # 显示名匹配条件，配对完整
    (mail={0}*)                     # 邮箱匹配条件，配对完整
  )                                  # OR逻辑的闭括号，配对完整
# 此处缺失1个右括号，用来和最开头的“( &”配对

对比你能正常运行的单条件查询代码，最后多出来的那个右括号就是给最外层AND逻辑做收尾的，OR版本漏写了这一步才触发格式校验失败。

基础修正代码 #

补上缺失的右括号后，过滤器就可以正常被ldap3解析：

# 修正点：在OR逻辑块末尾补上最外层AND的闭合右括号
query = "(&(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2))(|(displayName={0}*)(mail={0}*)))".format(value)

生产环境稳妥写法 #

直接将用户输入的内容拼接到过滤器字符串中，容易因为用户输入包含括号、反斜杠、通配符等特殊字符触发新的格式错误，甚至存在LDAP注入风险。建议使用ldap3内置的过滤器转义工具处理用户输入：

1. 先导入转义方法：

from ldap3.utils.conv import escape_filter_chars

2. 构造查询时对用户输入的内容做安全转义：

# 对用户输入内容做特殊字符转义，避免格式错误和注入风险
safe_value = escape_filter_chars(value)
query = f"(&(objectClass=user)(!(userAccountControl:1.2.840.113556.1.4.803:=2))(|(displayName={safe_value}*)(mail={safe_value}*)))"

小提示：当前过滤器的匹配规则是“显示名/邮箱以用户输入内容开头”，如果需要实现输入内容在字符串任意位置都能命中的包含匹配，只需要将通配符调整为*{safe_value}*即可，自定义添加的通配符不需要做转义，仅需转义用户实际输入的内容。

内容的提问来源于stack exchange，提问作者Josh Sharkey