Java+Spring创建AD LDAP新用户时密码无法设置的问题求助

我之前也碰到过一模一样的坑！折腾了好几天才摸清楚几个容易忽略的点，给你逐一排查：

1. 确认SSL连接真的生效了 #

AD要求unicodePwd必须通过SSL/TLS传输，哪怕你配置了ldaps://开头的URL，也有可能因为证书信任问题导致实际没建立SSL连接——这时候AD会默默忽略unicodePwd属性，不会报错，但密码自然不会生效。

解决方法：

• 把AD服务器的根CA证书导入到JVM的cacerts证书库（生产环境推荐）；
• 测试阶段可以临时自定义TrustManager跳过证书验证（别在生产用！），示例代码：

// 仅测试用，生产禁用
TrustManager[] trustAllCerts = new TrustManager[]{
    new X509TrustManager() {
        public java.security.cert.X509Certificate[] getAcceptedIssuers() {
            return null;
        }
        public void checkClientTrusted(X509Certificate[] certs, String authType) {}
        public void checkServerTrusted(X509Certificate[] certs, String authType) {}
    }
};
SSLContext sc = SSLContext.getInstance("TLS");
sc.init(null, trustAllCerts, new java.security.SecureRandom());
LdapContextSource contextSource = new LdapContextSource();
contextSource.setSslSocketFactory(sc.getSocketFactory());

2. 密码格式的细节不能错 #

你提到的规则没错，但代码实现时很容易踩转换的坑：

• 密码必须用双引号包裹（注意是字符串里包含引号，不是转义后去掉）；
• 必须转成UTF-16LE字节数组，不能用UTF-16（默认是BE）或者其他编码。

正确的转换示例：

import java.nio.charset.StandardCharsets;

String rawPassword = "YourStrongPassw0rd!";
// 一定要把密码用双引号包裹后再转码
String quotedPassword = "\"" + rawPassword + "\"";
byte[] unicodePwd = quotedPassword.getBytes(StandardCharsets.UTF_16LE);

// 然后添加到用户属性中
Attributes attributes = new BasicAttributes();
attributes.put("unicodePwd", unicodePwd);
attributes.put("pwdLastSet", "0"); // 可选：强制用户下次登录修改密码

3. 绑定账号的权限是否足够 #

AD默认限制普通用户不能设置其他用户的密码，你用来绑定LDAP的账号必须拥有重置密码或创建用户并设置密码的权限：

• 打开AD用户和计算机控制台，找到绑定账号所在的OU；
• 右键→属性→安全→高级，检查该账号是否有“重置密码”、“写入unicodePwd”等权限；
• 如果权限不足，联系AD管理员调整权限。

4. 尝试分开创建用户和设置密码 #

有时候在创建用户时同时设置unicodePwd会被AD的某些逻辑拦截，试试分两步操作：

1. 先创建用户（不设置密码，只填必要属性如cn、sAMAccountName等）；
2. 再执行LDAP修改操作，单独设置unicodePwd属性。

用Spring LdapTemplate的示例：

// 第一步：创建用户
User newUser = new User(...); // 填充基础属性
ldapTemplate.create(newUser);

// 第二步：设置密码
Name userDn = buildUserDn(newUser.getUsername());
ModificationItem[] mods = new ModificationItem[]{
    new ModificationItem(DirContext.REPLACE_ATTRIBUTE, 
        new BasicAttribute("unicodePwd", unicodePwd))
};
ldapTemplate.modifyAttributes(userDn, mods);

5. 开启LDAP调试日志排查请求 #

如果以上都没问题，开启Spring LDAP的DEBUG日志，看看实际发送的LDAP请求有没有包含unicodePwd属性：

• 在application.yml中添加：

logging:
  level:
    org.springframework.ldap: DEBUG
    org.springframework.security.ldap: DEBUG

日志里会显示完整的LDAP请求和响应，帮你确认unicodePwd是否正确发送到AD服务器。

内容的提问来源于stack exchange，提问作者Kelper