如何区分Windows管理员CMD下的常规管理员与CI/CD单用户VM自动管理员？

可以通过结合会话交互性、本地用户配置、环境特征这几个维度来区分两种管理员场景，以下是具体实现思路和示例：

1. 检测会话是否为交互式 #

开发者使用的管理员命令提示符属于交互式桌面会话，而CI/CD虚拟机通常运行在非交互式后台会话：

• 命令行方式：执行query session，检查输出中的会话状态。如果会话类型为Console但无活跃用户，或标记为Disc（断开），大概率是CI环境；如果是活跃的Console会话且有当前登录用户，则是交互式管理员场景。
• 代码层面（以PowerShell为例）：

  # 判断是否为交互式会话
  $isInteractive = [System.Windows.Forms.SystemInformation]::Interactive
  # 或检查是否存在桌面进程
  $hasExplorer = Get-Process explorer -ErrorAction SilentlyContinue
  

  若$isInteractive为$false，或无explorer.exe进程，可判定为CI环境。

2. 检查本地管理员用户数量 #

CI/CD虚拟机通常只有一个本地管理员用户，而开发者的机器一般会有普通用户+管理员用户两个及以上账号：

• 命令行方式：执行net localgroup administrators，统计输出中的用户数量。如果仅返回1个用户，符合CI环境特征；数量≥2则大概率是开发者的桌面环境。
• PowerShell示例：

  $adminUsers = Get-LocalGroupMember -Group "Administrators" | Where-Object {$_.ObjectClass -eq "User"}
  $adminCount = $adminUsers.Count
  

  当$adminCount -eq 1时，可作为CI环境的判断依据之一。

3. 验证用户密码状态 #

CI环境的管理员用户通常无密码，而开发者的管理员账号一般设置了密码：

• 命令行方式：执行net user %USERNAME%，查看输出中的"密码设置"字段。如果显示"无"或"密码永不过期"且无密码，符合CI环境特征。
• 代码层面可调用Win32 APINetUserGetInfo获取用户密码信息，判断是否为空密码。

4. 辅助：检查CI环境专属变量 #

多数CI/CD平台会设置专属环境变量（如GITHUB_ACTIONS、CI、APPVEYOR等），可作为补充判断条件：

$isCI = $env:CI -eq "true" -or $env:GITHUB_ACTIONS -eq "true" -or $env:APPVEYOR -eq "true"

综合判断逻辑 #

将上述条件组合，示例逻辑如下：

$isAdmin = ([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
if ($isAdmin) {
    $isInteractive = [System.Windows.Forms.SystemInformation]::Interactive
    $adminUsers = Get-LocalGroupMember -Group "Administrators" | Where-Object {$_.ObjectClass -eq "User"}
    $adminCount = $adminUsers.Count
    $hasExplorer = Get-Process explorer -ErrorAction SilentlyContinue
    $isCIEnv = $env:CI -eq "true"

    # 判定为CI/CD环境管理员的条件
    $allowRun = (!($isInteractive) -and $adminCount -eq 1) -or $isCIEnv -or (!$hasExplorer)

    if (!$allowRun) {
        Write-Warning "请不要使用管理员权限运行本工具，建议切换至普通用户会话。"
        # 或终止程序：exit 1
    }
}

需要注意的是，没有100%精准的判断方式，建议组合多个条件来降低误判概率，比如同时满足"非交互式会话+单管理员用户+无密码"时才允许运行，否则触发警告。

内容的提问来源于stack exchange，提问作者pullmyteeth