如何在PowerShell中使用加密密码调用psql工具？

步骤1：预先加密并保存PostgreSQL密码 #

首先通过Get-Credential交互式获取密码，将其加密后写入本地文件（加密基于当前用户和机器，其他用户/设备无法解密）：

$pgCred = Get-Credential -Message "输入PostgreSQL账号密码"
$pgCred.Password | ConvertFrom-SecureString | Out-File "C:\Scripts\pg_encrypted_pass.txt"
# 给密码文件设置严格权限，仅当前用户可读取
icacls "C:\Scripts\pg_encrypted_pass.txt" /inheritance:r /grant "$($env:USERNAME):(R)"

步骤2：脚本中读取并转换密码，传递给psql #

psql仅接受明文密码，所以需要将加密的SecureString转换为明文，然后通过环境变量传递（避免密码出现在命令行参数中被进程列表捕获）：

# 读取加密密码并转换为SecureString
$securePass = Get-Content "C:\Scripts\pg_encrypted_pass.txt" | ConvertTo-SecureString
# 将SecureString转换为明文
$plainTextPass = [System.Net.NetworkCredential]::new("", $securePass).Password

# 设置PGPASSWORD环境变量，psql会自动读取该变量
$env:PGPASSWORD = $plainTextPass

# 执行psql命令
psql -U postgres -d my_database -c "SELECT version();"

# 执行完成后立即清空环境变量，减少泄露风险
Remove-Item Env:PGPASSWORD

关键注意事项 #

• 加密后的密码文件必须设置严格的文件权限，只允许当前用户读取，防止他人获取文件后解密。
• 避免直接在psql命令行中传递密码（如psql -U user -p password），因为密码会在系统进程列表中明文显示，存在泄露风险。
• 这种方式仅能降低密码暴露风险，并非绝对安全——具备系统权限的用户仍可能通过调试进程等方式获取明文密码，但比直接在脚本中硬编码密码安全得多。

内容的提问来源于stack exchange，提问作者Sanjaya Balasuriya