如何从PowerShell脚本向Windows命令行传递Azure密钥库数据

首先明确：绝对不能将Set命令的目标改为User。User级环境变量是持久化的，会被保存到用户的系统配置中，重启命令行甚至机器后依然存在，这完全违背了你不想在机器/用户级别留存密钥的初衷，还会导致密钥泄露风险。

为什么当前方案失效？ #

cmd启动PowerShell时，PowerShell是一个独立的子进程。进程的环境变量是隔离的：子进程只能修改自己的环境变量，父进程（cmd）无法读取子进程的环境变量。你在PowerShell中设置的Process级变量，只在PowerShell进程运行期间有效，进程结束后就会被销毁，所以cmd完全看不到这个变量。

可行解决方案 #

方法1：让PowerShell输出SET命令，由cmd执行 #

这是最直接且安全的方式，PowerShell获取密钥后输出SET 变量名=值的命令，cmd捕获并执行该命令，将变量注入到自己的环境中。

修改后的PowerShell脚本（CallAzure.Ps1）：

Write-Host 'SETTING ENVIRONMENT SPECIFIC VARIABLES - PowerShell'

$Url = "https://lookupdv.site.org/API.KeyVault"
$JSON = "application/json"
$Body = @{
    URI = "KeyName"
    secretname = "UserID"
}
$Password = Invoke-RestMethod -Method 'Post' -Uri $url -ContentType $JSON -Body ($body | ConvertTo-Json)

# 输出CMD可识别的SET命令，注意不要包含多余空格或特殊字符
Write-Output "SET FromPowerShell=$Password"

Write-Host 'DONE SETTING ENVIRONMENT SPECIFIC VARIABLES - PowerShell'

修改后的CMD启动脚本：

ECHO SETTING ENVIRONMENT SPECIFIC VARIABLES
SET REGION_NAME=theRegion

# 使用for /f捕获PowerShell的输出并执行，-NoProfile避免加载不必要的配置
for /f "delims=" %%a in ('powershell.exe -NoProfile -File "C:\Util\CallAzure.Ps1"') do %%a

SET FIRST_ENV_VAR=DSN=DataSet;UID=UserID;PWD=%FromPowerShell%
...
SET SHAREDFILE_LOCATION=\\theServer\theFolder
ECHO DONE SETTING ENVIRONMENT SPECIFIC VARIABLES

方法2：通过临时文件传递密钥（备选） #

如果PowerShell输出的内容有特殊字符（比如分号、引号），可以将密钥写入临时文件，然后cmd读取文件内容。注意用完后要删除临时文件，避免泄露：

PowerShell脚本修改部分：

# 将密钥写入临时文件，路径可以自定义
$tempFile = [System.IO.Path]::GetTempFileName()
Set-Content -Path $tempFile -Value $Password -NoNewLine
# 输出临时文件路径给CMD
Write-Output "SET TEMP_FILE=$tempFile"

CMD脚本修改部分：

for /f "delims=" %%a in ('powershell.exe -NoProfile -File "C:\Util\CallAzure.Ps1"') do %%a
# 读取临时文件内容到变量
set /p FromPowerShell=<%TEMP_FILE%
# 删除临时文件
del %TEMP_FILE%

关键注意事项 #

• 不要使用User或Machine级环境变量，这会破坏密钥的动态性和安全性。
• 若密钥包含特殊字符（如&, |, >），需要在PowerShell输出时进行转义，或者使用临时文件方法更稳妥。

内容的提问来源于stack exchange，提问作者Marianne Seggerman