无需管理员权限运行自签名PowerShell脚本的方法？

核心问题排查与修复步骤 #

1. 确认证书导入的正确位置与配置 #

普通用户必须将自签证书导入**本地计算机的「受信任的根证书颁发机构」**存储，而非当前用户存储。操作时注意：

• 以普通用户身份打开mmc，添加「证书」管理单元，选择「本地计算机」账户；
• 定位到「受信任的根证书颁发机构」→「证书」，右键导入管理员导出的.cer格式证书；
• 检查证书的「增强型密钥使用」是否包含「代码签名」（OID: 1.3.6.1.5.5.7.3.3），若缺失需重新生成证书时指定该用途。

2. 修复脚本的「文件已修改」验证错误 #

这个错误大多和文件附加数据流或权限有关：

• 检查脚本是否带有Zone.Identifier数据流（常见于跨用户/设备复制的文件）：

  Get-Item .\YourScript.ps1 -Stream *
  

• 若存在该数据流，执行删除：

  Remove-Item .\YourScript.ps1 -Stream Zone.Identifier
  

• 确保普通用户对脚本文件拥有读取和执行权限，避免仅管理员独占权限。

3. 重新生成合规的自签代码签名证书 #

如果原有证书配置存在缺陷，重新生成符合要求的证书：
以管理员身份运行PowerShell，执行：

$certConfig = @{
  Subject = "CN=Internal Code Signing CA"
  KeyAlgorithm = "RSA"
  KeyLength = 2048
  KeyExportPolicy = "Exportable"
  CertStoreLocation = "Cert:\LocalMachine\My"
  Type = "CodeSigningCert"
  NotAfter = (Get-Date).AddYears(5)
}
New-SelfSignedCertificate @certConfig

生成后将证书从「本地计算机→个人」导出为.cer文件，再导入到普通用户的本地计算机根证书存储。

4. 验证签名与信任链 #

普通用户执行以下命令查看签名状态：

Get-AuthenticodeSignature .\YourScript.ps1

根据返回的Status和StatusMessage定位问题：

• 若为NotTrusted：确认根证书已正确导入本地计算机根存储；
• 若为HashMismatch：重复步骤2清理数据流或重新签名脚本。

5. 统一执行策略范围 #

确保执行策略为本地计算机级别的AllSigned，避免用户级策略冲突：

Set-ExecutionPolicy AllSigned -Scope LocalMachine -Force

内容的提问来源于stack exchange，提问作者Bughater