PowerShell中调用Starship时替代Invoke-Expression的安全方案咨询

一、当前场景下的安全风险 #

Invoke-Expression (&starship init powershell) 的核心风险在于：如果你的 starship 二进制文件被恶意篡改，它输出的内容可能包含恶意PowerShell代码，Invoke-Expression 会直接执行这些代码，导致系统被攻击。

但在正常使用场景中（比如从官方渠道安装Starship、系统环境未被入侵），这个风险极低。PSScriptAnalyzer的警告是通用安全规则，目的是提醒你避免在不可信输入上使用 Invoke-Expression，而非针对Starship的特定警告。

二、替代方案 #

你之前直接运行 & starship init powershell 无效，是因为该命令默认输出的是初始化指引命令，而非实际要执行的代码。需要加上 --print-full-init 参数获取完整初始化代码，再通过更安全的方式执行：

方案1：使用 ScriptBlock.Create() 执行代码 #

这种方式比 Invoke-Expression 更可控，且能规避PSScriptAnalyzer的警告：

# 获取Starship的初始化代码
$starshipInit = & starship init powershell --print-full-init | Out-String
# 创建脚本块并执行
& ([ScriptBlock]::Create($starshipInit))

方案2：预生成初始化脚本并Dot-Source #

如果你想彻底避免动态执行代码，可以提前把Starship的初始化代码导出到一个脚本文件，然后在Profile中Dot-Source它：

1. 先执行命令导出代码：

   & starship init powershell --print-full-init | Out-File -Path "$HOME\starship-init.ps1" -Encoding utf8
   

2. 在Profile中添加：

   . "$HOME\starship-init.ps1"
   

注意：当你更新Starship版本后，需要重新执行第一步导出最新的初始化代码。

三、为什么直接运行 & starship init powershell 无效 #

该命令的默认行为是输出告诉你如何初始化的提示命令（也就是你看到的 Invoke-Expression (& '/usr/local/bin/starship' init powershell --print-full-init | Out-String)），而非直接输出可执行的初始化逻辑。必须加上 --print-full-init 参数，才能获取实际需要执行的PowerShell代码。

内容的提问来源于stack exchange，提问作者whytheq