如何通过PowerShell或LDAP验证过期的ActiveDirectory密码

方案一：纯LDAP绑定验证（推荐） #

AD的LDAP绑定会返回明确的错误码，可直接用来区分密码状态：

• 525：用户不存在
• 52e：密码错误
• 532：密码已过期
• 533：账户已禁用

用NodeJS的ldapjs库实现，示例代码：

const ldap = require('ldapjs');

async function validateADPassword(username, password, ldapUrl, baseDN) {
  const client = ldap.createClient({ url: ldapUrl });
  
  try {
    await new Promise((resolve, reject) => {
      client.bind(`CN=${username},${baseDN}`, password, (err) => {
        err ? reject(err) : resolve();
      });
    });
    return { valid: true, expired: false };
  } catch (err) {
    if (err.code === 532) {
      return { valid: true, expired: true };
    } else if (err.code === 52e) {
      return { valid: false, expired: false };
    } else {
      throw new Error(`AD验证失败：${err.message}`);
    }
  } finally {
    client.unbind();
  }
}

注意事项：

• 如果无法直接获取用户完整DN，需先用服务账户绑定LDAP，查询对应用户的DN后再执行密码验证
• 若AD启用LDAPS，需在createClient中配置tlsOptions

方案二：PowerShell Core（跨平台）调用 #

PowerShell Core支持Linux环境，可在NodeJS中通过子进程调用，捕获AD验证的错误信息区分状态：
示例NodeJS调用代码：

const { exec } = require('child_process');

function validateADWithPS(username, password, domain) {
  return new Promise((resolve, reject) => {
    const psScript = `
    try {
      $cred = New-Object System.Management.Automation.PSCredential('${domain}\\${username}', (ConvertTo-SecureString '${password}' -AsPlainText -Force))
      New-PSSession -ComputerName ${domain} -Credential $cred -ErrorAction Stop | Out-Null
      Write-Output 'VALID'
    } catch {
      if ($_.Exception.Message -match 'password has expired') {
        Write-Output 'EXPIRED'
      } elseif ($_.Exception.Message -match 'incorrect password') {
        Write-Output 'INVALID'
      } else {
        Write-Error $_.Exception.Message
      }
    }
    `;
    exec(`pwsh -Command "${psScript}"`, (error, stdout, stderr) => {
      if (error) {
        reject(new Error(stderr.trim()));
        return;
      }
      const result = stdout.trim();
      switch(result) {
        case 'VALID':
          resolve({ valid: true, expired: false });
          break;
        case 'EXPIRED':
          resolve({ valid: true, expired: true });
          break;
        case 'INVALID':
          resolve({ valid: false, expired: false });
          break;
        default:
          reject(new Error(`PS验证结果异常：${result}`));
      }
    });
  });
}

注意事项：

• Linux环境需先安装PowerShell Core
• 需确保AD服务器开启WinRM服务并允许连接
• 密码含特殊字符时需提前转义，避免脚本注入风险

核心说明 #

两种方案均不依赖Windows专属DLL，完全适配Linux生态，核心逻辑都是通过AD返回的错误标识区分密码状态，无需先启用过期密码即可完成验证。

内容的提问来源于stack exchange，提问作者Magician