PowerShell动态成员访问误报及安全修改方法咨询

应用场景 #

我们的场景涉及一个PvsServerBiosBootstrap对象，示例定义如下：

$BootStrap = [ordered]@{
    Bootserver1_Ip='1.2.3.4';Bootserver1_Netmask='0.0.0.0';Bootserver1_Gateway='0.0.0.0';Bootserver1_Port='1234';
    Bootserver2_Ip='1.2.3.4';Bootserver2_Netmask='0.0.0.0';Bootserver2_Gateway='0.0.0.0';Bootserver2_Port='1234';
    Bootserver3_Ip='1.2.3.4';Bootserver3_Netmask='0.0.0.0';Bootserver3_Gateway='0.0.0.0';Bootserver3_Port='1234';
    Bootserver4_Ip='1.2.3.4';Bootserver4_Netmask='0.0.0.0';Bootserver4_Gateway='0.0.0.0';Bootserver4_Port='1234';
    VerboseMode='True';InterruptSafeMode='True';PaeMode='True';BootFromHdOnFail='False';
    RecoveryTime='50';PollingTimeout='5000';GeneralTimeout='30000';
    ServerId='12345678-1234-1234-1234-1234567890ab';Guid='12345678-1234-1234-1234-1234567890ab';Name='ARDBP32.BIN'
}

通常会通过$BootStrap."Bootserver$($Counter)_Ip"这类语法遍历Bootserver*相关属性。这种扁平化对象结构虽不推荐，但实际场景中较为常见。

问题描述 #

使用Injection Hunter检测时，$Object.$Property = 'Something'这类简化语法会被标记为风险。示例代码及检测结果如下：

Invoke-ScriptAnalyzer -CustomRulePath $InjectionHunterPath -ScriptDefinition {
    $Object = [PSCustomObject]@{ Property = 'Something' }
    $Property = 'Property'
    $Object.$Property = 'SomethingElse'
}.ToString()

检测输出：

RuleName                            Severity     ScriptName Line  Message
--------                            --------     ---------- ----  -------
InjectionRisk.StaticPropertyInjecti Warning                 4     Possible property access injection via dynamic member
on                                                                access. Untrusted input can cause arbitrary static
                                                                  properties to be accessed: $Object.$Property

现有两个疑问：

1. 若$Property在同脚本或同作用域内定义，是否属于误报？
2. 除抑制警告外，有没有更简洁的安全修改动态对象成员的语法？目前找到的替代方法较为繁琐：

$Object.PSObject.Properties.where{$_.Name -eq 'Property'}[0].Value = 'SomethingElse'

解答 #

1. 误报判断 #

当$Property的取值完全由脚本内部控制（同脚本/同作用域定义，未接收外部不可信输入）时，这确实属于误报。Injection Hunter的规则基于模式匹配，无法自动区分变量来源是可信内部定义还是不可信外部输入，只要检测到动态属性访问语法就会触发警告，核心目的是提醒开发者排查输入可控风险。

2. 简洁安全的替代语法 #

方式一：使用Set-Member命令（PowerShell 5.1+支持）

语法简洁，且明确指向属性赋值操作：

$Object | Set-Member -Name $Property -Value 'SomethingElse' -Force

-Force参数允许覆盖已存在的属性值，无需复杂的PSObject遍历。

方式二：添加属性白名单验证

提前定义合法属性集合，先验证$Property的合法性再赋值，从根源避免注入风险，同时保留简洁的动态赋值语法：

# 定义当前场景下的合法属性列表
$allowedProperties = @('Property', 'Bootserver1_Ip', 'Bootserver2_Ip', 'Bootserver3_Ip', 'Bootserver4_Ip')
if ($allowedProperties -contains $Property) {
    $Object.$Property = 'SomethingElse'
} else {
    throw "非法属性名称：$Property"
}

这种方式符合安全规范，部分Injection Hunter版本会认可经过验证的操作，无需额外抑制警告。

方式三：注释抑制特定警告

若确认当前场景完全安全，可通过注释直接抑制该条警告，无需修改代码逻辑：

$Object = [PSCustomObject]@{ Property = 'Something' }
$Property = 'Property'
# SuppressMessageAttribute: InjectionRisk.StaticPropertyInjection
$Object.$Property = 'SomethingElse'

内容的提问来源于stack exchange，提问作者iRon