PowerShell Get-ADUser获取空AD属性时Switch无法匹配$null问题

API 探路者

2026-8-29

问题根因

这个现象的核心原因是Active Directory模块返回的空多值属性不是PowerShell原生的$null标量，而是一个元素数量为0的ADPropertyValueCollection集合对象，两种值的行为差异导致了判断不一致：

为什么-eq $null返回True：AD模块自定义的ADPropertyValueCollection类型重写了等值比较逻辑，空集合和$null做比较时会返回True，和原生$null的判断结果一致，造成了“值就是$null”的假象。
为什么Switch不触发任何分支：PowerShell的Switch语句处理输入值时，如果输入是可枚举集合，会遍历集合内的每一个元素，逐个匹配分支条件。你拿到的是空集合，遍历过程拿不到任何待匹配的元素，自然不会进入任何分支，包括你写的$null分支。
为什么显式赋值$null后恢复正常：手动给变量赋值$null后，变量存储的内容从空集合变成了PowerShell原生的$null标量值，Switch拿到标量输入时不会做遍历操作，直接匹配$null分支，逻辑恢复正常。

你可以通过以下代码验证这个类型差异：

$CurrentADValue = Get-ADUser "first.last" -Properties altSecurityIdentities | Select-Object -ExpandProperty altSecurityIdentities
# 查看实际类型，空属性下会返回ADPropertyValueCollection，不是空值类型
$CurrentADValue.GetType().FullName
# 查看元素数量，空属性下返回0，证明确实是空集合
$CurrentADValue.Count

额外问题说明

你原来写的Switch逻辑还有两个隐性问题：

分支条件里用$CurrentADValue -ne $Expected_Value做判断是错误的。Switch遍历集合时，会把当前正在匹配的元素存在$_变量里，直接引用原变量会导致多值属性场景下判断逻辑完全失效。
不要用-Properties *拉取用户所有属性，会大幅增加域控查询负载，只指定业务需要的属性即可。

正确处理方案

根据业务场景选一种即可：

方案1：取值时主动做值归一化，把空集合转为原生$null，后续判断逻辑不需要大改，是最稳妥的写法：

# 仅查询需要的属性，降低域控压力
$adUser = Get-ADUser "first.last" -Properties altSecurityIdentities
# 空集合统一转为$null，非空时保留原有属性值
$CurrentADValue = if ($adUser.altSecurityIdentities.Count -gt 0) {
    $adUser.altSecurityIdentities
} else {
    $null
}

# 修正Switch分支的判断变量为$_，匹配当前遍历项
Switch ($CurrentADValue) {
    $null {Write-Output "Doing X." ; Break}
    {$_ -ne $Expected_Value} {Write-Output "Doing X."}
    $Expected_Value {Write-Output "Doing Y."}
}

方案2：提前拦截空集合场景，不依赖Switch处理空值，逻辑更直观：

$CurrentADValue = Get-ADUser "first.last" -Properties altSecurityIdentities | Select-Object -ExpandProperty altSecurityIdentities
# 先处理空值/空集合场景
if (-not $CurrentADValue -or $CurrentADValue.Count -eq 0) {
    Write-Output "Doing X."
}
else {
    # 非空值再走Switch匹配，用$_指代当前遍历项
    Switch ($CurrentADValue) {
        $Expected_Value { Write-Output "Doing Y."; break }
        default { Write-Output "Doing X." }
    }
}

内容的提问来源于stack exchange，提问作者Ashton Terry