PrincipalSearcher未遵循底层DirectorySearcher筛选器，OR查询实现求助

我之前也踩过PrincipalSearcher的这些坑，确实它在复杂查询和自定义筛选器上不够灵活，不过有明确的解决办法，咱们分情况说：

PrincipalSearcher的默认QueryFilter（基于UserPrincipal）没法直接构建OR逻辑，有两种常用方案：

方案一：直接用DirectorySearcher构造LDAP筛选器 #

这是最直接的方式，绕过PrincipalSearcher的限制，手动写LDAP筛选器字符串，然后把搜索结果转换成UserPrincipal：

using (var context = new PrincipalContext(ContextType.Domain))
{
    // 要搜索的关键词，记得转义特殊字符（后面会说）
    string searchTerm = "john.doe";
    // 构造LDAP OR筛选器：匹配邮箱 或 SamAccountName，同时限定用户对象
    string ldapFilter = $"(&(objectCategory=person)(objectClass=user)(|(mail={EscapeLdapFilter(searchTerm)})(sAMAccountName={EscapeLdapFilter(searchTerm)})))";
    
    using (var searcher = new DirectorySearcher(context.ConnectedServer))
    {
        searcher.Filter = ldapFilter;
        // 指定需要加载的属性，减少数据传输提升性能
        searcher.PropertiesToLoad.AddRange(new[] { "mail", "sAMAccountName", "displayName", "objectSid" });
        
        foreach (SearchResult result in searcher.FindAll())
        {
            // 通过SID将SearchResult转换为UserPrincipal
            var sid = result.Properties["objectSid"][0].ToString();
            using (var user = UserPrincipal.FindByIdentity(context, IdentityType.Sid, sid))
            {
                Console.WriteLine($"用户名：{user.SamAccountName}，邮箱：{user.EmailAddress}");
            }
        }
    }
}

关键注意：LDAP筛选器转义 #

如果搜索词包含*、(、)、\这些特殊字符，必须转义，否则会导致筛选器语法错误，建议写个辅助方法：

private static string EscapeLdapFilter(string input)
{
    if (string.IsNullOrEmpty(input)) return input;
    return input.Replace("\\", "\\5c")
                .Replace("(", "\\28")
                .Replace(")", "\\29")
                .Replace("*", "\\2a")
                .Replace("\0", "\\00");
}

方案二：自定义Principal类扩展筛选器 #

如果需要复用这个OR查询逻辑，或者想继续使用PrincipalSearcher的API，可以自定义一个继承自UserPrincipal的类，重写筛选器构建逻辑：

[DirectoryObjectClass("user")]
[DirectoryRdnPrefix("CN")]
public class CustomUserPrincipal : UserPrincipal
{
    // 自定义属性，用于传递搜索关键词
    public string SearchKeyword { get; set; }

    public CustomUserPrincipal(PrincipalContext context) : base(context) { }

    protected override bool AppendFilter(SearchFilterBuilder filterBuilder)
    {
        if (!string.IsNullOrEmpty(SearchKeyword))
        {
            // 添加OR筛选条件：匹配邮箱或SamAccountName
            filterBuilder.AppendOrFilter(
                new FilterPropertyEquals("mail", SearchKeyword),
                new FilterPropertyEquals("sAMAccountName", SearchKeyword)
            );
        }
        // 调用基类方法保留默认的用户对象筛选逻辑
        return base.AppendFilter(filterBuilder);
    }
}

使用方式：

using (var context = new PrincipalContext(ContextType.Domain))
{
    using (var queryUser = new CustomUserPrincipal(context))
    {
        queryUser.SearchKeyword = "john.doe";
        using (var searcher = new PrincipalSearcher(queryUser))
        {
            foreach (var result in searcher.FindAll())
            {
                var user = result as CustomUserPrincipal;
                Console.WriteLine($"用户名：{user.SamAccountName}，邮箱：{user.EmailAddress}");
            }
        }
    }
}

默认情况下，PrincipalSearcher会根据你设置的QueryFilter自动生成LDAP筛选器，覆盖你手动配置的DirectorySearcher.Filter。解决这个问题的核心是清空QueryFilter，让PrincipalSearcher使用你自定义的DirectorySearcher配置：

using (var context = new PrincipalContext(ContextType.Domain))
{
    using (var directorySearcher = new DirectorySearcher(context.ConnectedServer))
    {
        // 手动设置你的筛选器（比如这里是OR查询+额外条件）
        directorySearcher.Filter = "(&(objectCategory=person)(objectClass=user)(|(mail=*@example.com)(sAMAccountName=j*))(accountEnabled=true))";
        // 配置其他属性，比如分页、排序、要加载的字段
        directorySearcher.PageSize = 1000;
        directorySearcher.PropertiesToLoad.AddRange(new[] { "mail", "sAMAccountName" });
        
        using (var principalSearcher = new PrincipalSearcher())
        {
            // 关键步骤：清空默认的QueryFilter，否则会覆盖你的筛选器
            principalSearcher.QueryFilter = null;
            // 关联自定义的DirectorySearcher
            principalSearcher.Searcher = directorySearcher;
            
            foreach (var result in principalSearcher.FindAll())
            {
                var user = result as UserPrincipal;
                Console.WriteLine($"用户名：{user.SamAccountName}，邮箱：{user.EmailAddress}");
            }
        }
    }
}

原理是：当QueryFilter不为null时，PrincipalSearcher会优先用它生成筛选器，忽略DirectorySearcher的配置；只有当QueryFilter为null时，才会直接使用你传入的DirectorySearcher的所有设置。

内容的提问来源于stack exchange，提问作者Erik