C#操作AD调用UserPrincipal.FindByIdentity报用户名或密码错误异常

核心原因 #

你遇到的报错是两个方法的底层逻辑差异导致的：

• ValidateCredentials() 仅执行LDAP绑定校验，只要用户名密码合法、AD服务可访问就会返回成功，不依赖你指定的LDAP搜索路径、账号查询权限
• UserPrincipal.FindByIdentity() 需要在你配置的上下文路径下执行目录对象搜索，除了上下文本身的连通性，还要求路径合法、管理员账号有路径读取权限、用户名匹配规则符合要求

常见修复点 #

• 修正ContextType枚举：如果对接的是标准AD域服务，不要用ContextType.ApplicationDirectory（该值仅适用于AD LDS轻量目录服务），替换为ContextType.Domain
• 明确身份匹配类型：调用FindByIdentity时显式指定IdentityType，避免默认模糊匹配的歧义，比如传的是域账号名就指定IdentityType.SamAccountName，传的是用户邮箱/UPN就指定IdentityType.UserPrincipalName
• 校验LDAP路径：确认传入的userdomainLdappath是正确的OU/域路径，且管理员账号对该路径有可读权限
• 补全管理员账号格式：管理员账号建议用域\用户名或者用户名@域后缀的完整格式，避免域解析歧义

修正后代码示例 #

// 对接标准AD域时ContextType用Domain
PrincipalContext pricipalContext = new PrincipalContext(
    ContextType.Domain, 
    server, 
    userdomainLdappath, 
    "DOMAIN\\adminUsername", // 管理员账号用完整格式
    "adminPassword");

// 凭据验证通过后再执行查询
if (pricipalContext.ValidateCredentials("clientUsername", "clientPassword"))
{
    // 显式指定IdentityType，这里示例是按SAM账号名查询
    UserPrincipal usp = UserPrincipal.FindByIdentity(
        pricipalContext, 
        IdentityType.SamAccountName, 
        "clientUsername");
}

内容的提问来源于stack exchange，提问作者Mohd Afzaal