基于CSV用户列表使用LDAPFilter的ANR模糊匹配执行Get-AdUser查询遇输出异常问题排查

我来帮你搞定这个问题——你遇到的核心问题是**Get-ADUser在没有找到匹配项时默认不会抛出异常**，所以你的Try/Catch逻辑完全没触发错误分支，反而会执行成功分支的代码，但因为没有实际查询结果，导出CSV时自然就没内容了。

问题根源详解 #

ANR（Ambiguous Name Resolution）查询如果没匹配到任何用户，Get-ADUser只会返回一个空集合，不会抛出终止错误。这就导致你的Try块会一路执行到底：打印“found successfully”，但空集合导出CSV就是啥都不会写入。

修改后的脚本 #

下面是调整后的脚本，解决了这个逻辑问题，还优化了一些细节：

# 假设$List、$OutputFileResults、$OutputFileFailed已经提前定义好
ForEach($User in $List){ 
    Write-Host "Now checking $User" 
    # 捕获查询结果，静默处理无匹配的情况
    $adUser = Get-ADUser -LDAPFilter "(anr=$User)" -Properties DisplayName,UserPrincipalName,mail,Enabled -ErrorAction SilentlyContinue
    
    if($adUser){
        # 有匹配结果时导出到成功列表
        $adUser | Select-Object DisplayName,UserPrincipalName,mail,Enabled | Export-CSV -Append $OutputFileResults -NoTypeInformation 
        Write-Host "$User found successfully (matches found: $($adUser.Count))" -ForegroundColor Green 
    } else {
        # 无匹配时写入失败列表（用PSCustomObject保证CSV有表头）
        [PSCustomObject]@{Username = $User} | Export-CSV -Append $OutputFileFailed -NoTypeInformation 
        Write-Host "$User not found" -ForegroundColor Red 
    }
}

关键修改点说明 #

1. 捕获查询结果并判断：把Get-ADUser的结果存到变量里，用if($adUser)直接判断是否有匹配项，替代原来不可靠的Try/Catch
2. 优化属性查询：把-Properties *改成只指定需要的属性，减少AD查询的负载，提升脚本速度
3. 失败列表优化：用[PSCustomObject]包装失败的用户名，导出的CSV会有Username表头，后续处理更方便
4. 新增匹配数量提示：成功时打印匹配到的用户数量，方便你了解ANR返回了多少近似结果

额外小贴士 #

• ANR默认匹配AD中的DisplayName、GivenName、Surname、SamAccountName等属性，如果你的用户名和这些属性关联度低，可能需要自定义LDAP过滤器（比如(samaccountname=*$User*)）来扩大匹配范围
• 确保运行脚本的账号有AD用户查询权限，避免因权限不足导致的隐性查询失败

内容的提问来源于stack exchange，提问作者Ursa201