如何用Python ldap3实现OpenLDAP的属性比较类SQL查询？

当然可以实现这个需求！不过LDAP的查询逻辑和SQL不太一样，而且有个关键限制需要我们绕开——LDAP本身不支持在服务端直接做两个属性值之间的比较（比如你要的modified < last_modified）。不过结合Python的ldap3模块，我们可以分两步来完成这个筛选：先在服务端过滤出同时拥有这两个属性的条目，再在客户端（Python代码里）做值的对比。

具体步骤说明 #

1. 服务端初步过滤：筛选同时拥有目标属性的条目 #

LDAP的搜索过滤器可以帮我们先把同时存在modified和last_modified属性的条目捞出来，避免后续处理无效数据。对应的过滤器语法是：

(&(modified=*)(last_modified=*))

这个过滤器的意思是：匹配所有同时满足modified属性存在（modified=*）且last_modified属性存在（last_modified=*）的条目。

2. 客户端二次筛选：对比属性值大小 #

因为LDAP服务端不支持属性间的直接对比，我们需要把第一步拿到的条目数据拉到本地，再用Python代码完成modified < last_modified的判断。这里需要注意：LDAP中存储的时间属性一般是UTC格式的字符串（比如20240520123000Z），需要先转换成Python的datetime对象再做比较。

完整代码示例 #

from ldap3 import Server, Connection, ALL_ATTRIBUTES
from datetime import datetime

# 配置你的LDAP服务器信息
ldap_server = Server('your-ldap-host', port=389, get_info=ALL_ATTRIBUTES)
# 绑定LDAP服务器（替换成你的绑定DN和密码）
conn = Connection(ldap_server, user='cn=admin,dc=example,dc=com', password='your-password', auto_bind=True)

# 定义搜索基准DN和过滤条件
search_base = 'dc=example,dc=com'  # 替换成你的实际搜索范围
search_filter = '(&(modified=*)(last_modified=*))'

# 执行搜索，获取目标属性及所有其他属性（按需调整attributes参数）
conn.search(
    search_base=search_base,
    search_filter=search_filter,
    attributes=['modified', 'last_modified', ALL_ATTRIBUTES]
)

# 客户端筛选符合modified < last_modified条件的条目
filtered_entries = []
for entry in conn.entries:
    # 提取属性值（ldap3返回的属性值是列表，取第一个元素）
    modified_time_str = entry.modified.value
    last_modified_time_str = entry.last_modified.value
    
    try:
        # 将LDAP时间字符串转换为datetime对象（适配YYYYMMDDHHMMSSZ格式）
        modified_dt = datetime.strptime(modified_time_str, '%Y%m%d%H%M%SZ')
        last_modified_dt = datetime.strptime(last_modified_time_str, '%Y%m%d%H%M%SZ')
        
        # 时间对比，符合条件则加入结果列表
        if modified_dt < last_modified_dt:
            filtered_entries.append(entry)
    except ValueError:
        # 处理时间格式异常的情况
        print(f"警告：条目 {entry.entry_dn} 的时间格式不正确，跳过处理")

# 输出或导出筛选后的结果
print(f"共筛选出 {len(filtered_entries)} 条符合条件的条目：")
for entry in filtered_entries:
    print(f"\nDN: {entry.entry_dn}")
    print(f"modified: {entry.modified.value}")
    print(f"last_modified: {entry.last_modified.value}")
    # 可根据需求输出其他属性，比如entry.other_attribute.value

# 关闭LDAP连接
conn.unbind()

额外注意事项 #

• 时间格式兼容性：如果你的last_modified是自定义属性，要确保它的时间格式和modified（通常是LDAP标准属性modifyTimestamp）一致，否则转换datetime时会出错。如果格式不同，需要调整strptime的格式参数。
• 大数据量优化：如果LDAP中的条目数量非常多，建议先在服务端加额外的过滤条件缩小范围（比如按modified的时间区间过滤），再拉到客户端处理，减少数据传输量。例如：

  (&(&(modified=*)(last_modified=*))(modified>=20240101000000Z))
  

• 权限问题：确保你的绑定账号有足够的权限读取目标条目的modified和last_modified属性，否则会返回空值或权限错误。

内容的提问来源于stack exchange，提问作者Flavius