LDAP测试连接报错：无效DN语法，求问题排查方案

我正尝试使用ldap.forumsys.com:389测试LDAP认证，服务器为公开在线测试LDAP服务。以下是我在C#应用中使用的通信代码：

using System.DirectoryServices;

string ldapServerAddress = "ldap.forumsys.com:389";
string ldapBaseDN = "DC=example,DC=com";
string ldapUserName = "CN=read-only-admin,DC=example,DC=com";
string ldapPassword = "password";

try
{
    using var directoryEntry = new DirectoryEntry($"LDAP://{ldapServerAddress}/{ldapBaseDN}", ldapUserName, ldapPassword);
    directoryEntry.RefreshCache();  
}
catch (Exception ex)
{
    Console.WriteLine($"Exception caught: {ex.Message}");
}

每次运行这段代码都会触发**“指定了无效的DN语法”**异常。我已尝试多种连接参数变体，比如将小写“dn”改为大写、使用read-only-admin@example.com替代CN=read-only-admin,DC=example,DC=com等，但均无效。我确认服务器可用，已通过Apache Directory Studio成功连接并访问其资源，也试过复制ADS中的DN，但依然无效。请问我哪里操作有误？

问题出在DirectoryEntry的构造参数组合逻辑上——你同时在LDAP路径中拼接了Base DN，又传入了完整的用户DN作为用户名，这会导致系统错误地将两个DN组合，产生格式无效的最终DN。

正确的处理方式有两种：

• 方法一：LDAP路径仅保留服务器地址，Base DN无需提前拼接，完整用户DN直接传入

using System.DirectoryServices;

string ldapServerAddress = "ldap.forumsys.com:389";
string ldapUserName = "CN=read-only-admin,DC=example,DC=com";
string ldapPassword = "password";

try
{
    // 路径仅包含服务器地址，不附加Base DN
    using var directoryEntry = new DirectoryEntry($"LDAP://{ldapServerAddress}", ldapUserName, ldapPassword);
    directoryEntry.RefreshCache();
    Console.WriteLine("连接成功");
}
catch (Exception ex)
{
    Console.WriteLine($"Exception caught: {ex.Message}");
}

• 方法二：如果要在LDAP路径中包含Base DN，用户名仅传入相对DN（即完整DN中去掉Base DN的部分）

using System.DirectoryServices;

string ldapServerAddress = "ldap.forumsys.com:389";
string ldapBaseDN = "DC=example,DC=com";
// 仅使用相对DN作为用户名
string ldapUserName = "CN=read-only-admin";
string ldapPassword = "password";

try
{
    using var directoryEntry = new DirectoryEntry($"LDAP://{ldapServerAddress}/{ldapBaseDN}", ldapUserName, ldapPassword);
    directoryEntry.RefreshCache();
    Console.WriteLine("连接成功");
}
catch (Exception ex)
{
    Console.WriteLine($"Exception caught: {ex.Message}");
}

原因说明：当你在DirectoryEntry路径中指定LDAP://server/BaseDN，同时传入完整用户DN时，系统会自动将用户DN与路径中的Base DN拼接，最终得到的DN会变成CN=read-only-admin,DC=example,DC=com,DC=example,DC=com，这显然不符合LDAP的DN语法规范，因此触发异常。

内容的提问来源于stack exchange，提问作者Emil Kucharczyk