active-directory - 为什么不总是在 LDAP 搜索过滤器中使用 (objectClass=*)？

Question

我为 Active Directory 中的搜索用户创建了以下过滤器:

(&(objectClass=*)(|(sAMAccountName=u)(userPrincipalName=u)) 

可以创建更多合格的过滤器:

(&(objectClass=person)(|(sAMAccountName=u)(userPrincipalName=u)) 

问题是为什么？

使用指定类有什么好处 person ?

同一个目录是否可能包含 objectClass 的对象？不是 person但以下是正确的 (|(sAMAccountName=u)(userPrincipalName=u)) ?

方式不总是使用 (objectClass=*)在 LDAP 搜索过滤器中？

Answer 1

(objectClass=*)是一个当前过滤器，用于过滤掉没有填充的对象 objectClass ... 没有，因为所有 LDAP 对象都至少有一个结构对象类，因此第一个过滤器中的过滤器组件是不必要的，甚至可能会减慢搜索速度，具体取决于服务器配置。

您问题中的第一个过滤器可能会导致服务器使用不必要的匹配规则进行比较。从性能角度来看，第二个过滤器是更好的过滤器，假设已在服务器上创建了 objectClass 相等性的索引。