如何限制PowerShell二进制模块（*.dll）导出的命令？

当直接通过Import-Module导入PowerShell DLL文件时，无法像使用.psd1模块清单那样通过CmdletsToExport直接控制导出，但可以通过以下两种方式实现基于环境变量的Cmdlet显示控制：

方法1：在DLL中实现模块初始化逻辑（推荐） #

如果有权限修改DLL的源代码，可以通过实现IModuleAssemblyInitializer接口，在模块导入时自动检查环境变量并动态移除不需要导出的Cmdlet。

实现示例（C#）： #

using System;
using System.Management.Automation;

namespace YourModuleNamespace
{
    public class CustomModuleInitializer : IModuleAssemblyInitializer
    {
        public void OnImport()
        {
            // 读取目标环境变量
            string enableHiddenCmds = Environment.GetEnvironmentVariable("YOUR_MODULE_ENABLE_HIDDEN");
            
            // 仅当环境变量符合指定值时，保留需要隐藏的Cmdlet；否则移除
            if (string.IsNullOrWhiteSpace(enableHiddenCmds) || enableHiddenCmds != "Authorized")
            {
                var sessionState = SessionState.Current;
                // 移除需要隐藏的Cmdlet，替换为你的Cmdlet名称
                sessionState.InvokeCommand.RemoveCommand("Get-RestrictedCmd", CommandTypes.Cmdlet);
                sessionState.InvokeCommand.RemoveCommand("Set-RestrictedCmd", CommandTypes.Cmdlet);
            }
        }
    }
}

原理说明： #

PowerShell导入DLL时会自动触发IModuleAssemblyInitializer接口的OnImport方法，此时可以通过SessionState.Current获取当前会话的命令管理对象，直接移除不符合显示条件的Cmdlet。

方法2：用PowerShell脚本包装导入过程 #

如果无法修改原DLL，可以先导入DLL，再根据环境变量动态清理不需要的Cmdlet。

脚本示例： #

# 导入目标DLL
Import-Module "C:\Path\To\YourModule.dll"

# 检查环境变量，不符合条件则移除指定Cmdlet
if (-not ($env:YOUR_MODULE_ENABLE_HIDDEN -eq "Authorized")) {
    $restrictedCmds = @("Get-RestrictedCmd", "Set-RestrictedCmd")
    Get-Command -Module YourModule -Name $restrictedCmds | Remove-Command
}

注意事项： #

• 若使用方法1，需确保项目引用System.Management.Automation程序集（可通过NuGet安装Microsoft.PowerShell.SDK包）。
• 两种方法的环境变量检查均在模块导入时生效，后续修改环境变量需重新导入模块才会触发逻辑。
• 移除Cmdlet后，当前会话内无法直接调用这些命令，但重启会话或重新导入未处理的DLL会恢复默认导出状态。

内容的提问来源于stack exchange，提问作者Miroslav Vanický