PowerShell函数调用权限限制及非模块化密封实现问询

问题背景 #

我希望限制部分PowerShell函数，使其仅能被指定的允许函数调用，禁止被脚本中的其他函数调用或直接调用。示例代码如下：

# 可直接在脚本中调用的主函数
function Cleanup-Collection {
    param (
        [string]$CollectionName
    )
    $Collection = Get-Collection -Name $CollectionName
    Cleanup-CollectionReferences -Collection $Collection
}

# 仅允许被Cleanup-Collection调用的辅助子函数
function Cleanup-CollectionReferences {
    param (
        [PSObject]$Collection
    )
    $AllowedFunctionsAndHashes = @{...}
    If($PSScript.InvokerFunction -match $AllowedFunctionsAndHashes -And $PSScript.InvokerChecksum -match $AllowedFunctionsAndHashes[FunctionName].Hash) {
       Continue-Script
       ...
    }
}

# 测试函数（调用辅助函数应抛出异常）
function Test-RestrictedFunctionCall {
    param (
        [string]$CollectionName
    )
    $Collection = Get-Collection -Name $CollectionName
    Cleanup-CollectionReferences -Collection $Collection
}

# 直接调用辅助函数（应抛出异常）
Cleanup-CollectionReferences -Collection $Collection

其中Test-RestrictedFunctionCall的调用以及脚本中的直接调用均应抛出异常。我有两个问题：

1. 是否可以通过上述思路实现PowerShell函数的调用限制？我知道可以通过嵌套函数（如Function A内部定义Function B）实现，但这种方式会导致主函数过于冗长，缩进过多，不利于代码导航与查看。
2. 不封装到独立PowerShell模块的情况下，能否为函数实现类似OOP中密封（Sealed）的效果？即嵌入校验和，函数被修改后调用会失败，直到重新生成校验和或签名。是否需要重构为基于类的架构并实现类型检查？PowerShell是否将函数视为对象？能否为单个函数实现内部校验签名而非文件级签名，同时保持单文件脚本的形式？

我知晓封装并签名库会更简便，但希望实现单文件的高可靠性方案，其中第一个问题最为关键。

问题1：实现函数调用限制（无需嵌套函数） #

可以实现，你的思路方向正确，但需要替换示例中虚构的$PSScript属性，改用PowerShell原生的调用栈检测来实现。具体步骤如下：

• 获取调用栈信息：用Get-PSCallStack获取当前调用链，定位直接调用者的函数名
• 校验调用者白名单：在受限函数内检查调用栈的上一层是否属于允许的函数列表，不符合则抛出异常

完整实现示例：

# 可直接调用的主函数
function Cleanup-Collection {
    param (
        [string]$CollectionName
    )
    # 模拟Get-Collection的返回结果
    $Collection = [PSCustomObject]@{ Name = $CollectionName }
    Cleanup-CollectionReferences -Collection $Collection
}

# 受限辅助函数
function Cleanup-CollectionReferences {
    param (
        [PSObject]$Collection
    )
    # 允许调用当前函数的白名单
    $allowedCallers = @('Cleanup-Collection')
    
    # 获取调用栈，跳过当前函数本身，取上一层的调用者
    $callStack = Get-PSCallStack
    $caller = $callStack[1].FunctionName

    # 校验调用者：非白名单内的调用直接抛出异常
    if ($caller -notin $allowedCallers -and $caller -ne '<ScriptBlock>') {
        throw "函数Cleanup-CollectionReferences仅允许被$($allowedCallers -join ', ')调用，当前调用者：$caller"
    }

    # 实际业务逻辑
    Write-Host "清理集合$($Collection.Name)的引用..."
}

# 测试函数（调用会触发异常）
function Test-RestrictedFunctionCall {
    param (
        [string]$CollectionName
    )
    $Collection = [PSCustomObject]@{ Name = $CollectionName }
    Cleanup-CollectionReferences -Collection $Collection
}

# 测试场景
try {
    Cleanup-Collection -CollectionName "TestCollection" # 正常执行
    Test-RestrictedFunctionCall -CollectionName "TestCollection" # 抛出异常
}
catch {
    Write-Error $_
}

try {
    Cleanup-CollectionReferences -Collection ([PSCustomObject]@{ Name = "DirectCall" }) # 直接调用抛出异常
}
catch {
    Write-Error $_
}

注意：这种方式能应对常规脚本场景的非授权调用，如果需要更严格的控制，可以结合校验调用者的脚本块哈希（计算允许函数的脚本块内容哈希，和调用栈中的对应哈希对比），但实现复杂度会有所提升。

问题2：单文件实现函数密封效果 #

可以实现，PowerShell中的函数本质是[System.Management.Automation.FunctionInfo]对象，无需重构为类，单文件即可实现函数级的篡改校验：

• 初始化时预存函数哈希：在脚本启动阶段，计算受限函数的脚本块内容哈希并存储
• 函数内部校验自身哈希：每次调用受限函数时，重新计算当前脚本块的哈希，和预存值对比，不一致则抛出异常

完整实现示例：

# 脚本初始化时，预计算受限函数的脚本块哈希
$cleanupRefHash = (Get-Command Cleanup-CollectionReferences).ScriptBlock.ToString() | Get-FileHash -Algorithm SHA256

# 受限辅助函数（带调用者校验+自篡改校验）
function Cleanup-CollectionReferences {
    param (
        [PSObject]$Collection
    )
    # 1. 调用者校验（复用问题1的逻辑）
    $allowedCallers = @('Cleanup-Collection')
    $callStack = Get-PSCallStack
    $caller = $callStack[1].FunctionName
    if ($caller -notin $allowedCallers -and $caller -ne '<ScriptBlock>') {
        throw "函数Cleanup-CollectionReferences仅允许被$($allowedCallers -join ', ')调用，当前调用者：$caller"
    }

    # 2. 自身脚本块哈希校验
    $currentHash = $MyInvocation.MyCommand.ScriptBlock.ToString() | Get-FileHash -Algorithm SHA256
    if ($currentHash.Hash -ne $cleanupRefHash.Hash) {
        throw "函数Cleanup-CollectionReferences已被篡改，禁止执行！"
    }

    # 实际业务逻辑
    Write-Host "清理集合$($Collection.Name)的引用..."
}

# 主函数
function Cleanup-Collection {
    param (
        [string]$CollectionName
    )
    $Collection = [PSCustomObject]@{ Name = $CollectionName }
    Cleanup-CollectionReferences -Collection $Collection
}

# 测试篡改场景：如果手动修改Cleanup-CollectionReferences的脚本块，下次调用会抛出异常

补充说明：

• 这种方式是函数级的校验，而非文件级，完全保持单文件结构
• 如果需要更安全的签名，可以使用PowerShell的数字签名工具Set-AuthenticodeSignature，但这是文件级的签名，会影响整个脚本；上述哈希校验则是针对单个函数的精准控制

内容的提问来源于stack exchange，提问作者Vadim K.