在dsquery命令认证中使用SecureString密码对象无法通过验证的问题

我明白你的问题了——dsquery、dsget这类传统Windows命令行工具不支持PowerShell的SecureString安全对象，它们的-p参数只接受明文字符串格式的密码。直接把SecureString对象传进去，工具根本没法解析，自然就认证失败了。下面给你两种解决方案，按需选择：

方法一：临时将SecureString转换为明文（注意安全风险） #

如果必须用dsquery/dsget这套命令，你需要先把SecureString转换成明文密码，再传给-p参数。步骤如下：

1. 把SecureString转成明文：

# 利用NetworkCredential类提取明文密码
$plainTextPass = [System.Net.NetworkCredential]::new("", $pass).Password

2. 修改你的命令，用明文密码变量替代原SecureString：

dsquery group -name $group -s $rmSrv -u $user -p $plainTextPass | 
dsget group -members -expand -c -s $rmSrv -u $user -p $plainTextPass | 
dsget user -samid -c -s $rmSrv -u $user -p $plainTextPass > $filename

3. 关键安全操作：用完明文密码后立即清除变量，避免内存中残留明文：

Remove-Variable plainTextPass -Force

⚠️ 注意：这种方式会在内存中生成明文密码，有被恶意进程读取的风险，尽量只在非敏感环境或测试场景使用。

方法二：用PowerShell AD模块替代（更安全） #

如果你的环境允许安装RSAT工具，强烈推荐用PowerShell的ActiveDirectory模块来完成这个任务。它原生支持SecureString，全程不需要暴露明文密码，更安全可靠：

1. 先安装AD模块（如果还没装）：
   • Windows 10/11：设置→应用→可选功能→添加功能，搜索“RSAT: Active Directory Domain Services and Lightweight Directory Tools”并安装
   • Windows Server：用管理员权限执行Install-WindowsFeature RSAT-AD-PowerShell
2. 执行替代命令：

Import-Module ActiveDirectory

# 创建PSCredential对象（用你的用户和SecureString密码）
$cred = New-Object System.Management.Automation.PSCredential($user, $pass)

# 递归获取组成员并导出SamAccountName
Get-ADGroupMember -Identity $group -Server $rmSrv -Credential $cred -Recursive |
    Get-ADUser -Properties SamAccountName -Server $rmSrv -Credential $cred |
    Select-Object -ExpandProperty SamAccountName |
    Out-File -FilePath $filename

这个方法不仅更安全，语法也更符合PowerShell的习惯，还能避免重复输入服务器和凭证信息。

内容的提问来源于stack exchange，提问作者JayBe