Spring Boot集成AD认证遇LDAP错误码49(52e)求助

原有Spring Boot Web应用使用DAO认证正常，切换为仅使用ActiveDirectoryLdapAuthenticationProvider做AD认证时，登录抛出错误：
javax.naming.AuthenticationException: [LDAP: error code 49 - 80090308: LdapErr: DSID-0C090439, comment: AcceptSecurityContext error, data 52e, v4563]
已知52e代表用户名存在但密码无效，但该账号在多款LDAP/AD客户端可正常登录。

以下是具体排查方向：

• 检查用户名格式是否匹配AD要求
  AD支持多种用户名格式（如sAMAccountName、userPrincipalName、DOMAIN\username），不同环境要求可能不同。确认ActiveDirectoryLdapAuthenticationProvider配置的用户名格式和其他正常登录的客户端一致：

  • 若当前用的是纯用户名，尝试添加域名前缀（如CORP\john）或完整UPN（john@corp.com）
  • 排查代码中是否对用户名做了额外处理（比如自动截断、转义特殊字符），导致传递给AD的用户名和实际不符

• 验证密码传递过程是否被篡改

  • 检查是否有过滤器、拦截器或加密组件在密码到达AD认证前修改了内容（比如自动哈希、编码转换）
  • 开启DEBUG日志，查看ActiveDirectoryLdapAuthenticationProvider实际发送给AD的密码内容（注意脱敏，避免泄露敏感信息）

• 排查AD服务器的绑定限制

  • 确认该账号是否允许从当前应用服务器IP访问AD（部分AD会限制特定IP的绑定请求）
  • 检查账号是否有登录时间、地点限制，或被设置为仅能通过特定服务登录
  • 确认AD是否启用了Kerberos等协议，而应用仍在使用简单绑定，导致兼容性问题

• 核对ActiveDirectoryLdapAuthenticationProvider配置参数

  • 检查域名（domain）和域控制器URL（url）是否与正常客户端一致
  • 确认自定义的searchFilter是否正确，错误的过滤器可能匹配到非目标用户对象
  • 排查是否启用了useAuthenticationRequestCredentials等特殊配置，导致认证流程异常

• 模拟应用请求做LDAP绑定测试

  • 使用ldapsearch或LdapAdmin等工具，完全复用应用的认证参数（用户名格式、密码、连接地址）做绑定测试
  • 若模拟请求失败，问题出在AD端配置或网络；若模拟成功，说明应用代码或配置存在差异

内容的提问来源于stack exchange，提问作者Sascha Heimann