如何在PowerShell中判断字符串是明文还是加密安全字符串？

没有PowerShell内置命令能直接判断一个字符串是明文还是ConvertFrom-SecureString生成的加密文本，因为加密文本本质就是普通字符串。但可以通过解密尝试+格式特征验证的组合方式来区分，或者通过额外标识明确区分。

方法1：尝试解密，捕获错误 #

核心逻辑：如果输入是加密的安全字符串文本，ConvertTo-SecureString可以正常转换并解密；如果是明文，该命令会抛出错误，以此判断类型。

示例函数：

function Get-PlainTextPassword {
    param([string]$InputString)
    try {
        # 尝试转换为SecureString并解密
        $secureStr = ConvertTo-SecureString $InputString -ErrorAction Stop
        $bstr = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($secureStr)
        $plainText = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($bstr)
        [System.Runtime.InteropServices.Marshal]::ZeroFreeBSTR($bstr)
        return @{
            IsEncrypted = $true
            PlainText = $plainText
        }
    }
    catch {
        # 解密失败，认定为明文
        return @{
            IsEncrypted = $false
            PlainText = $InputString
        }
    }
}

使用示例：

# 测试明文
Get-PlainTextPassword -InputString "password"
# 输出：
# Name                           Value
# ----                           -----
# IsEncrypted                    False
# PlainText                      password

# 测试加密文本（替换为实际的加密字符串）
Get-PlainTextPassword -InputString "01000000d08c9ddf0115d1118c7a00c04fc297eb..."
# 输出：
# Name                           Value
# ----                           -----
# IsEncrypted                    True
# PlainText                      password

方法2：结合格式特征优化判断 #

默认用DPAPI加密的安全字符串文本有固定前缀：01000000d08c9ddf0115d1118c7a00c04fc297eb，且长度通常远长于普通明文密码。先通过正则匹配前缀，再尝试解密，能减少不必要的错误捕获，提升效率。

优化后的函数：

function Get-PlainTextPassword {
    param([string]$InputString)
    # DPAPI加密字符串的固定前缀正则
    $encryptedPattern = '^01000000d08c9ddf0115d1118c7a00c04fc297eb'
    
    if ($InputString -match $encryptedPattern) {
        try {
            $secureStr = ConvertTo-SecureString $InputString -ErrorAction Stop
            $bstr = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($secureStr)
            $plainText = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($bstr)
            [System.Runtime.InteropServices.Marshal]::ZeroFreeBSTR($bstr)
            return @{
                IsEncrypted = $true
                PlainText = $plainText
            }
        }
        catch {
            # 前缀匹配但解密失败，仍视为明文
            return @{
                IsEncrypted = $false
                PlainText = $InputString
            }
        }
    }
    else {
        # 前缀不匹配，直接认定为明文
        return @{
            IsEncrypted = $false
            PlainText = $InputString
        }
    }
}

更可靠的方案：主动添加标识 #

如果需要100%准确区分，建议在输入时主动添加标识。比如约定加密字符串以ENC:开头，处理时先判断标识：

function Get-PlainTextPassword {
    param([string]$InputString)
    if ($InputString -like 'ENC:*') {
        $encryptedStr = $InputString -replace '^ENC:'
        try {
            $secureStr = ConvertTo-SecureString $encryptedStr -ErrorAction Stop
            $bstr = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($secureStr)
            $plainText = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($bstr)
            [System.Runtime.InteropServices.Marshal]::ZeroFreeBSTR($bstr)
            return $plainText
        }
        catch {
            throw "无效的加密字符串"
        }
    }
    else {
        return $InputString
    }
}

使用时，加密字符串需要写成ENC:01000000d08c9ddf0115d1118c7a00c04fc297eb...，明文直接传入即可。

内容的提问来源于stack exchange，提问作者Chris