LDAP filter中特殊字符不转义会导致查询失败或结果错误，必须使用ldap.EscapeFilter对value部分按RFC 4515十六进制转义，而非URL或HTML编码，且需配合命令行验证与debug日志排查。
LDAP filter 中特殊字符不转义会导致查询失败或结果错误
LDAP 查询 filter 是字符串拼接的，但 (uid=john) 这种写法在用户名含 @、、(、)、* 时会直接破坏语法结构。比如 john@example.com 拼成 (uid=john@example.com)，filter 解析器会把 @ 当作非法分隔符报错；cn=John Doe 中的空格虽不报错，但某些服务端可能匹配失败。
Go 标准库不提供 LDAP filter 转义函数，必须手动处理。不能用 url.QueryEscape 或 html.EscapeString —— 它们语义完全不同，会把 =、( 等关键符号也编码掉，导致 filter 无法被 LDAP 服务端识别。
- 必须使用
ldap.EscapeFilter（来自github.com/go-ldap/ldap/v3）对每个变量值单独转义 - 只对 filter 中的
value部分转义，attribute和操作符（如=）保持原样 - 不要对整个 filter 字符串调用
EscapeFilter，否则(uid=...)会被变成8uidD...9，完全失效
为什么 ldap.EscapeFilter 要比手写正则更可靠
ldap.EscapeFilter 不是简单替换 、( 等字符，它严格遵循 RFC 4515 规范：对 ASCII 控制字符（0x00–0x1F）、、(、)、*、 （空字节）做十六进制转义，并保留其他字符原样。手写正则容易漏掉 或误转 +、（它们在 filter 中合法，无需转义）。
例如：johndoe → johndoe，而 john<p>例如：<code>johndoe → john\doe，而 john doe → john\00doe；cn=John (Admin) → cn=John 8Admin9。
john doe；cn=John (Admin) → cn=John Admin。
立即学习“go语言免费学习笔记（深入）”；
- 该函数已通过 OpenLDAP 和 Active Directory 实际兼容性验证
- 源码中明确区分了“需转义”和“可保留”的字符范围，比正则
strings.ReplaceAll(s, "\", "\\")更严谨 - 若你用的是旧版
gopkg.in/ldap.v3，请升级到github.com/go-ldap/ldap/v3，前者无此函数
filter 拼接时常见的结构性错误
即使 value 已转义，filter 整体仍可能因结构问题返回空结果或报错。典型情况包括：
- 多个条件未用
&/|/!包裹，比如直接写(uid=john)(objectClass=user)是非法的，必须是(&(uid=john)(objectClass=user)) - DN 属性（如
distinguishedName、manager）只能用=且值必须是完整 DN，不能带通配符 ——(distinguishedName=cn=*)是错的，(distinguishedName=cn=john,ou=users,dc=example,dc=com)才合法 - 多值属性（如
memberOf）用=即可，无需额外语法，但 value 仍要转义 - filter 开头结尾必须是括号，且括号必须成对；嵌套层级过深（>5 层）可能被部分 AD 域控拒绝
调试 filter 是否生效的最简验证路径
别依赖 Go 程序日志猜——先用命令行工具确认 filter 本身是否有效：
- 用
ldapsearch手动执行相同 filter：ldapsearch -x -H ldap://10.1.2.3:389 -D "cn=admin,dc=example,dc=com" -W -b "dc=example,dc=com" -s sub "(uid=john)" - 如果命令行能查出结果，但在 Go 里查不到，大概率是 Go 代码中
baseDN或scope设错了（比如用了ldap.ScopeBaseObject却期望子节点） - 如果命令行也查不到，就把 Go 中
fmt.Sprintf拼出的 filter 字符串复制过去测试，确认是否漏转义或括号错位 - 开启 Go 的 LDAP 连接 debug 日志：
conn.Debug = true，它会打印实际发出的 filter 字符串（注意：仅用于调试，勿上线）
真正容易被忽略的是：filter 合法 ≠ 权限允许返回。即使 (uid=john) 语法正确，若 BindDN 没有读取该条目权限，结果仍是空——这时需要检查 ACL 或启用 AD 的「继承权限」选项。
