解析ldap筛选器以转义特殊字符

Question

问题是，有时属性值包含需要对此处指定的整个过滤器进行转义的特殊字符：
https://msdn.microsoft.com/en-us/library/aa746475（v=vs.85）. aspx
和此处指定的专有名称ATITBUTE值：
https://msdn.microsoft.com/en-us/library/aa366101（v=vs.85）. aspx
为了实现这一点，服务必须执行以下操作：

1. 分析dn值的字符串，将它们分开并根据dn转义规则转义它们，如果它们尚未转义。
2. 在字符串的其余部分搜索属性值中的特殊字符，如果它们尚未转义，则按照通用过滤器转义规则转义它们。
3. 将结果合并为新的转义过滤器并将其传递。

Java本机javax.naming.ldap.Rdn转义dn值很好，但不是幂等的。至于其他任务，到目前为止，我还没有找到一个可以让我完成它们的库。

现在我倾向于认为转义ldap过滤器的工作应该由服务的用户完成，而不是由服务本身完成，因为服务很难区分转义与实际值。此外，在没有经过良好测试的库的情况下解析复杂的字符串，例如ldap过滤器，在我看来似乎很容易出错。

关于如何解决这个问题有什么想法吗？这个任务可以自动化吗？

Answer 1

如果调用方提供的LDAP筛选器表示用于查询的最终筛选器，则无法可靠地转义该筛选器中的值。考虑调用方组装的以下过滤器：

String value = "*)(objectClass=*";
String filter = "(|(attr1=constvalue)(attr2=" + value + "))";
search(filter);

生成的过滤器匹配所有对象，因为代码不会转义value：

(|(attr1=constvalue)(attr2=*)(objectClass=*))

没有办法根据最终过滤器转义value，因为无法再识别开始和结束位置。

为了解决这种模糊性和滤波器注入问题，必须在构建滤波器时转义输入值，而不是事后转义。然而，这并不意味着调用者必须直接处理转义细节——这很容易出错，所以我不建议这样做。

EJB处理转义所需要的只是知道所需的过滤器，包括占位符而不是实际值和值列表。Java的DirContext已经提供了一种可以利用的机制<代码>DirContext。搜索有一个表示过滤器模板的参数，该模板可以包含占位符，还有一个表示相应值列表的参数。

这样，上述示例将变成：

String value = "*)(objectClass=*";
String filter = "(|(attr1=constvalue)(attr2={0}))";
search(filter, new String[] { value });

search的实现：

dircontext.search(basedn, filter, valuearray, null);

这是我能想到的最好的妥协。它完全解决了LDAP过滤器注入问题，但不需要调用方处理转义，调用方只需提供一个过滤器模板和一个值列表。

通常，使用库工具进行转义应该优于自定义代码，以确保正确处理所有情况。其他两个答案说明了这一点。

Answer 2

冥王星给出的答案非常简洁，但非ASCII UTF-8字符（例如é、á、ö等）也需要特殊处理。这是我详细的解决方案。

/** 
 * Filter components need to escape special chars.
 * Note that each piece of the filter needs to be escaped, 
 * not the whole filter expression, for example:
 * 
 * "(&(cn="+ esc("Admins") +")(member="+ esc("CN=Doe\\, Jöhn,OU=ImPeople,DC=ds,DC=augur,DC=com") +"))"
 * 
 * @see Oracle Directory Server Enterprise Edition 11g Reference doc
 * @see http://docs.oracle.com/cd/E29127_01/doc.111170/e28969/ds-ldif-search-filters.htm#gdxoy
 * @param s A String field within the search expression
 * @return The escaped string, safe for use in the search expression.
 */
public static String esc(String s)
{
    if(s == null) return "";
    StringBuilder sb = new StringBuilder(s.length());
    for (byte c : s.getBytes(StandardCharsets.UTF_8))
    {
        if (c=='\\') { sb.append("\\5c"); }
        else if (c=='*') { sb.append("\\2a"); }
        else if (c=='(') { sb.append("\\28"); }
        else if (c==')') { sb.append("\\29"); }
        else if (c==0) { sb.append("\\00"); }
        else if ((c&0xff)>127) { sb.append("\\").append(to2CharHexString((c&0xff))); } // UTF-8's non-7-bit characters, e.g. é, á, etc...
        else { sb.append((char)c); }
    }
    return sb.toString();
}

/** 
 * @return The least significant 16 bits as a two-character hex string, 
 * padded by a leading '0' if necessary.
 */
public static String to2CharHexString(int i)
{
    String s = Integer.toHexString(i & 0xff);
    if (s.length()==1) return "0"+s;
    else return s;
}

Answer 3

为了转义LDAP过滤器，我依靠此页面编写了以下代码：http://social.technet.microsoft.com/wiki/contents/articles/5392.active-directory-ldap-syntax-filters.aspx#Special_Characters

String LdapEscape(String ldap)
{
    if(ldap == null) return "";
    return ldap.replace("\\", "\\5C").replace("*", "\\2A").replace("(", "\\28").replace(")", "\\29").replace("\000", "\\00");
}

这里要记住的最重要的事情是必须首先将\替换为\5C，这样您就不会对任何字符进行双重转义。否则这很简单；没有任何特殊的技巧需要注意。

我想指出的是，这是为了转义放置在LDAP过滤器中的单个值，而不是整个LDAP过滤器。但是，如果您愿意，可以使用该函数来转义类似的内容，以便可以搜索：

LdapEscape("(!(sn=m*))"); // \28!\28sn=m\2A\29