Java LDAP查询ActiveDirectory时已知userPrincipalName存在却无返回结果

问题排查及修复方案 #

首先确认你代码里最明显的逻辑错误：
你当前doSearch的调用被放在了InitialLdapContext初始化失败的catch块里，此时ldapCtx大概率是null，初始化成功的场景反而没有执行搜索逻辑，把调用逻辑调整为：

try {
    ldapCtx = new InitialLdapContext(env, null);
    success = true;
    // 初始化成功后再执行搜索
    doSearch(ldapCtx);
} catch (NamingException ex) {
    ex.printStackTrace();
    success = false;
} finally {
    if (ldapCtx != null) {
        ldapCtx.close();
    }
}

如果调整逻辑后仍无返回结果，按以下顺序排查：

• 权限验证：确认你用来绑定AD的账号（也就是securityPrincipal对应的账号），拥有目标搜索路径的读取权限。你可以用AD用户和计算机工具，使用同一账号登录，手动搜索目标用户，排除权限不足导致的结果过滤。
• 搜索路径验证：确认目标用户cdanvers@ourcompany.com确实在ou=external,DC=ourcompany,DC=com路径下，你可以先把搜索基改为根域DC=ourcompany,DC=com，搜索范围保持SUBTREE_SCOPE，排除路径匹配错误。
• 查询过滤器修正：你之前拼接的过滤器存在多余空格，AD的LDAP服务对格式要求严格，修正写法，同时建议使用参数占位符避免特殊字符转义问题：

  // 错误写法：&和括号间有多余空格
  // results = ctx.search(domain,"(& (userPrincipalName=" +searchUser +"))",ctrls);
  // 正确写法：无多余空格，使用参数占位符自动转义
  String filter = "(&(userPrincipalName={0}))";
  Object[] filterArgs = new Object[]{searchUser};
  SearchControls ctrls = new SearchControls();
  ctrls.setSearchScope(SearchControls.SUBTREE_SCOPE);
  // 先设置返回所有属性，排除属性过滤问题
  ctrls.setReturningAttributes(null);
  results = ctx.search("DC=ourcompany,DC=com", filter, filterArgs, ctrls);
  

• 基础连通性验证：先把过滤器改为(objectClass=user)，执行查询看是否能返回用户列表，如果可以返回说明查询逻辑正常，问题出在userPrincipalName的匹配上，如果仍无结果则说明绑定账号权限不足。

内容的提问来源于stack exchange，提问作者mstabosz