LDAP在AD查询中本质是构造结构化查询请求，核心为层级定位（指定Search Root）、属性筛选（RFC 4515过滤器）和协议驱动（受MaxPageSize等服务端策略约束）。
ldap 协议在 active directory 查询中，本质是“用标准语法向目录数据库发问”，不是执行命令，而是构造一个结构化的查询请求，由域控制器解析并返回匹配的对象。它的逻辑核心在于：**层级定位 + 属性筛选 + 协议驱动**。
目录树结构决定查询起点
Active Directory 数据按树状组织（如 DC=contoso,DC=com），每个对象都有唯一可分辨名（DN）。LDAP 查询必须指定一个起始点（Search Root），比如：
- 查整个域：用域命名上下文，如 DC=contoso,DC=com
- 只查用户容器：用组织单元路径，如 OU=Users,DC=contoso,DC=com
- 跨林搜索：连接全局编录端口（3268/3269），起始点通常是 GC://contoso.com
这个起点不是随意选的——它直接限制了能查到哪些对象。查不到，往往是因为 Search Root 设得太窄或根本不在目标分区里。
过滤器表达式定义“要什么”
LDAP 不支持 SQL 那样的自由拼接，而是用括号嵌套的过滤器语法（RFC 4515）描述条件。例如：
- (sAMAccountName=john)：找登录名为 john 的账户
- (&(objectClass=user)(objectCategory=person)(!(userAccountControl:1.2.840.113556.1.4.803:=2)))：找启用状态的普通用户（含位运算判断）
- (cn=Admin*)：模糊匹配 cn 以 Admin 开头的对象
注意：属性名必须是 LDAP 显示名（如 sAMAccountName，不是“用户名”或“账号”），值中的特殊字符（如 \、*、(）需转义；通配符 * 只在字符串比较中有效，不能用于数值范围。
协议层约束影响实际行为
即使语法正确，查询也可能被截断、限速或拒绝，因为 LDAP 协议在 AD 中受服务端策略硬性控制：
- MaxPageSize 默认 1000：单次响应最多 1000 条，超量需启用分页控件（Paging Control）
- MaxConnections 和 MaxActiveQueries：高并发时可能返回 LDAP_BUSY 错误
- LDAPS（636/3269 端口）要求证书验证：若客户端未配置信任根证书，TLS_REQCERT=demand 会直接中断连接
- 未签名绑定在新环境默认被拒：Windows Server 2025 起，简单 bind（非 SSL/TLS 或非签名）会被域控制器拒绝
这些不是应用层错误，而是协议交互阶段的底层拦截，调试时需检查事件日志（如事件 ID 2887/2889）和网络抓包确认握手是否完成。
ADSI 和 DirectorySearcher 是封装，不是替代
像 .NET 的 DirectorySearcher 或 PowerShell 的 Get-ADObject，只是把 LDAP 底层操作做了封装。它们内部仍：
- 调用 ldap_connect 建立连接
- 设置 SearchRoot、Filter、PropertiesToLoad 等参数
- 提交后解析 ASN.1 编码的 LDAP 响应包
理解原始 LDAP 逻辑，才能读懂报错（如 LDAP_NO_SUCH_OBJECT 是 DN 找不到，LDAP_TIMELIMIT_EXCEEDED 是服务器侧超时），而不是只依赖高级 Cmdlet 的模糊提示。
