搜尋篩選語法

  • 發行項

搜尋篩選可讓您定義搜尋準則，並提供更有效率且有效的搜尋。

ADSI 支援RFC2254中所定義的LDAP搜尋篩選。 這些搜尋篩選會以 Unicode 字串表示。 下表列出LDAP搜尋篩選器的一些範例。

搜尋篩選 描述
“（objectClass=*）” 所有物件。
“（&（objectCategory=person）（objectClass=user）（！（cn=andy））” 所有用戶物件，但 「andy」。
“（sn=sm*）” 所有以 「sm」 開頭的姓氏物件。
“（&（objectCategory=person）（objectClass=contact）（|（sn=Smith）（sn=Johnson））” 所有姓氏等於 「Smith」 或 「Johnson」 的聯繫人。

 

這些搜尋篩選條件會使用下列其中一種格式。

<filter>=(<attribute><operator><value>)

或

<filter>=(<operator><filter1><filter2>)

ADSI 搜尋篩選條件有兩種使用方式。 它們會形成LDAP方言的一部分，以透過OLE DB提供者提交查詢。 它們也會與 IDirectorySearch 介面搭配使用。

操作員

下表列出常用搜尋篩選運算符。

邏輯運算子 描述
= 等於
~= 大致等於
<= 語彙小於或等於
>= 語彙大於或等於
和 且
| OR
! NOT

 

除了上述運算符之外，LDAP 還會定義兩個相符的規則對象標識碼 （OID），可用來執行數值的位比較。 比對規則具有下列語法。

<attribute name>:<matching rule OID>:=<value>

“<attribute name>” 是 屬性的 lDAPDisplayName ，“<rule OID” 是比對規則的 OID>，而 “<value>” 是用於比較的值。 請注意，此字串中不能使用空格。 “<value>” 必須是十進位數;不能是十六進位數或常數名稱，例如 ADS_GROUP_TYPE_SECURITY_ENABLED。 如需可用 Active Directory 屬性的詳細資訊，請參閱 所有屬性。

下表列出LDAP所實作的相符規則 OID。

比對規則 OID 字串識別碼 （來自 Ntldap.h） 描述
1.2.840.113556.1.4.803 LDAP_MATCHING_RULE_BIT_AND 只有在來自 屬性的所有位都符合值時，才會找到相符專案。 此規則相當於位 AND 運算元。
1.2.840.113556.1.4.804 LDAP_MATCHING_RULE_BIT_OR 如果屬性中的任何位符合值，則會找到相符專案。 此規則相當於位 OR 運算元。
1.2.840.113556.1.4.1941 LDAP_MATCHING_RULE_IN_CHAIN 此規則僅限於套用至 DN 的篩選。 這是特殊的「擴充」比對運算符，它會一路將物件中的祖系鏈結一直移至根目錄，直到找到相符項目為止。

 

下列範例查詢字串會搜尋已設定ADS_GROUP_TYPE_SECURITY_ENABLED旗標的群組物件。 請注意，ADS_GROUP_TYPE_SECURITY_ENABLED的十進位值 （0x80000000 = 2147483648） 用於比較值。

(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=2147483648))

LDAP_MATCHING_RULE_IN_CHAIN是一個相符的規則 OID，其設計目的是提供方法來查閱物件的祖系。 許多使用AD和AD LDS的應用程式通常會使用階層式數據，依父子式關聯性排序。 先前，應用程式會執行可轉移群組擴充，以找出使用太多網路頻寬的群組成員資格：如果鏈接經過結尾，應用程式需要進行多次往返，以找出物件是否「鏈結中」掉落。

這類查詢的範例是一個設計來檢查使用者 「user1」 是否為群組 「group1」 的成員。 您會將基底設定為使用者 DN (cn=user1, cn=users, dc=x) ，並將範圍設定為 base，並使用下列查詢。

(memberof:1.2.840.113556.1.4.1941:=cn=Group1,OU=groupsOU,DC=x)

同樣地，若要尋找 「user1」 所屬的所有群組，請將基底設定為群組容器 DN;例如 (OU=groupsOU, dc=x) ，和的範圍為 subtree，並使用下列篩選條件。

(member:1.2.840.113556.1.4.1941:=cn=user1,cn=users,DC=x)

請注意，使用 LDAP_MATCHING_RULE_IN_CHAIN 時，範圍不受限制，可以是 base、 one-level或 subtree。 子樹上的某些這類查詢可能會更密集的處理器，例如追逐具有高扇出的連結;也就是說，列出用戶所屬的所有群組。 沒有效率的搜尋會記錄適當的事件記錄檔訊息，就像任何其他查詢類型一樣。

萬用字元

您也可以將通配符和條件新增至LDAP搜尋篩選器。 下列範例顯示可用來搜尋目錄的子字串。

取得所有項目：

(objectClass=*)

取得包含一般名稱中某個位置 「bob」 的專案：

(cn=*bob*)

取得名稱大於或等於 「bob」 的通用名稱專案：

(cn>='bob')

取得具有電子郵件屬性的所有使用者：

(&(objectClass=user)(email=*))

取得具有電子郵件屬性且姓氏等於 「smith」 的所有使用者專案：

(&(sn=smith)(objectClass=user)(email=*))

以 “andy”、“steve” 或 “margaret” 開頭的通用名稱取得所有用戶專案：

(&(objectClass=user)(| (cn=andy*)(cn=steve*)(cn=margaret*)))

取得不含電子郵件屬性的所有專案：

(!(email=*))

搜尋篩選器的正式定義如下（來自 RFC 2254）：

<filter> ::= '(' <filtercomp> ')'
<filtercomp> ::= <and> | <or> | <not> | <item>
<and> ::= '&' <filterlist>
<or> ::= '|' <filterlist>
<not> ::= '!' <filter>
<filterlist> ::= <filter> | <filter> <filterlist>
<item>::= <simple> | <present> | <substring>
<simple> ::= <attr> <filtertype> <value>
<filtertype> ::= <equal> | <approx> | <ge> | <le>
<equal> ::= '='
<approx> ::= '~='
<ge> ::= '>='
<le> ::= '<='
<present> ::= <attr> '=*'
<substring> ::= <attr> '=' <initial> <any> <final>
<initial> ::= NULL | <value><any> ::= '*' <starval>
<starval> ::= NULL | <value>'*' <starval>
<final> ::= NULL | <value>

token <attr> 是代表 AttributeType 的字串。 Token <值> 是一個字串，表示由基礎目錄服務定義其格式的 AttributeValue。

<如果值>必須包含星號 {、左括弧 （（） 或右括弧 （）） 字元，則字元前面應該加上反斜杠逸出字元 （\）。

特殊字元

如果下列任何特殊字元必須以常值的形式出現在搜尋篩選中，則必須以列出的逸出序列取代它們。

ASCII 字元 逸出序列替代專案
* \2a
( \28
) \29
\ \5c
NUL \00
/ \2f

 

注意

在使用 MultiByte 字元集的情況下，如果 ADO 使用 SQL 方言進行搜尋，就必須使用上述逸出序列。

 

此外，任意二進位數據可以使用逸出序列語法來表示，方法是使用反斜杠 （\） 編碼每一個字節的二進位數據，後面接著兩個十六進位數位。 例如，篩選字串中的四位元組值0x00000004編碼為 \00\00\00\04。

LDAP 方言

SQL 方言

使用 IDirectorySearch 介面搜尋

使用 ActiveX 資料物件搜尋

使用 OLE DB 搜尋