LDAPBindError主因是未用完整DN绑定、未启用TLS或密码不满足策略；搜索需注意sAMAccountName精确匹配和OU转义；新建用户必填多objectClass及UTF-16编码unicodePwd；应复用连接并加异常重试。
连接AD时为什么总是报 LDAPBindError？
多数人卡在第一步：连不上域控。根本原因不是密码错，而是没搞清 AD 的绑定机制。AD 要求必须用完整 DN（不是用户名）做 bind user，且默认拒绝匿名绑定和简单密码策略下的弱密码。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 用域管理员账号绑定时，
user参数填"CN=Admin,CN=Users,DC=corp,DC=local"这类完整 DN，别填"admin@corp.local"或"admin" - 若用 UPN 格式（如
"admin@corp.local"），需确认域控开启了 UPN 登录支持，且server初始化时加参数get_info=ALL，否则可能拿不到必要 schema 信息 - 明文密码必须满足域策略（比如最小长度、大小写+数字+符号），测试前先用 Windows 自带的
ldp.exe手动 bind 验证凭据是否有效 - 务必启用 TLS：用
Server(host="dc.corp.local", use_ssl=True, port=636)，而非默认 389 端口明文通信——很多企业 AD 已禁用非加密 bind
Connection.search() 查不到用户？过滤条件怎么写才对
AD 的 LDAP 过滤语法和 OpenLDAP 不完全一致，尤其对中文 OU、特殊字符、时间戳字段容易出错。最常见的是把 sAMAccountName 当成登录名直接搜，却忽略了它不区分大小写但必须精确匹配，且不能用于模糊查姓名。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 查用户存在性：用
filter="(sAMAccountName={})".format(username)，不要加*；查姓名用filter="(displayName=*{}*)".format(name_part) - OU 路径含空格或中文时，DN 中的逗号、等号必须转义：比如
"OU=研发部,DC=corp,DC=local"是合法的，但搜索时若作为 base_dn 传入，需确保字符串本身未被 Python 字符串拼接破坏 - 返回属性别偷懒全写
attributes=ALL_ATTRIBUTES，AD 默认只返回常用字段；要获取lastLogonTimestamp或msDS-UserPasswordExpiryTimeComputed，必须显式列出 - 注意分页：AD 默认限制单次返回 1000 条，超量结果会截断且不报错。要用
paged_size=500+ 循环connection.extend.standard.paged_search
创建/禁用用户时，add() 和 modify() 哪些属性不能缺？
AD 对新建用户有硬性 schema 约束：比如 objectClass 必须含 top、person、organizationalPerson、user 四个值；禁用账户不是改一个字段，而要同时操作 userAccountControl 和清除 pwdLastSet 等字段，否则密码策略可能失效。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 新建用户必填字段：
sAMAccountName（≤20 字母数字）、userPrincipalName（格式如"u123@corp.local"）、displayName、givenName、sn（姓）、unicodePwd（必须 UTF-16 编码并用双引号包裹，如""password123!""） - 禁用账户：设
userAccountControl: 514（即ACCOUNTDISABLE | NORMAL_ACCOUNT），启用则设512；切勿只改userAccountControl就完事，还要modify()清除pwdLastSet字段（设为0）以绕过密码过期检查 - 重置密码必须用
modify()改unicodePwd，不能用add()或replace()；且连接必须走 SSL/TLS，否则 AD 直接拒绝 - 设置邮箱、电话等属性时，确认 AD Schema 中对应字段是否已启用（如
mail是可选属性，部分老环境未配置）
批量操作时为什么脚本跑一半就断连？如何稳定执行
AD 域控对单 IP 的并发连接数、单位时间请求数有限制，ldap3 默认连接是短连接，每次操作都重连+bind，极易触发限流导致 SocketClosed 或超时。另外，长时间无操作连接会被 AD 主动回收。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 复用连接对象：整个脚本只初始化一次
Connection，所有操作共用它；避免在循环里反复bind()/unbind() - 加异常重试：捕获
LDAPOperationResult和SocketClosed，失败后调用connection.rebind()恢复，而不是新建连接 - 控制节奏：每 10 次操作后
time.sleep(0.1)，避免触发 AD 的速率限制（尤其在 GC 全局编录服务器上） - 关键操作（如删用户）前，先用
connection.search(..., attributes=['distinguishedName'])做存在性校验，避免因 DN 错误导致整批失败
真正麻烦的从来不是语法，而是 AD 的隐式策略：密码复杂度、OU 权限继承、组策略延迟生效、GC 与 DC 数据同步滞后。写脚本前，先用 dsquery 或 Get-ADUser 在域内验证好预期行为，再翻译成 ldap3 调用。
