将“原始”搜索过滤器传递给ldap_search（）函数是否安全？

Question

我在写一个管理一些LDAP条目的PHP应用程序。我有一个页面显示来自给定分支的条目并过滤某些objectClasses（仅限某些授权用户等）。

我想知道是否可以将'raw'url定义的过滤器传递给ldap_search（）函数，否则这可能会带来任何类型的安全问题。

将被设置，那么将是这样的过滤器：

"(&(&(objectClass=myClass1)(objectClass=myClass2))". $_GET['filter'] .")" 

当然，我会永远写像这样在SQL，但使用LDAP的功能呢？我不认为有这样做的可能性，我错了吗？

注意：我不关心错误的过滤器语法等事情，因为我在做别人的地方转义，而生成URL。如果手动定义的过滤器出现错误，可以向用户显示错误。

Answer 1

与SQL查询不同，LDAP搜索查询不会执行更新，因此他们不太可能能够更改任何内容。此外，他们很可能会绕过权限，因为权限基于连接的DN而不是搜索查询。

我在LDAP上工作了大约3年，从不担心这一点，但是当然我没有告诉用户他们正在与什么类型的数据库进行交互。

海事组织可以这样做。