Invoke-WebRequest在PowerShell正常，SQL Server代理作业执行失败求助

核心排查与解决方向 #

1. 修复脚本语法问题 #

你的原始脚本缺少命令分隔符，在SQL代理的单行执行环境下会触发语法错误，修正后脚本如下：

cd "C:\Folder\"; [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; Invoke-WebRequest https://raw.githubusercontent.com/repository/folder/file.sql -Headers @{"Authorization"="token xxxxxxxxxxxxxxx";"Accept"= "application/vnd.github.v3.raw"} -OutFile ./file.sql

建议改用枚举值而非字符串设置TLS协议，避免安全更新带来的协议解析差异。

2. 捕获详细错误日志 #

当前无错误信息是排查最大障碍，强制输出执行日志：

• 若使用CmdExec步骤，修改命令为：

powershell.exe -ExecutionPolicy Unrestricted -Command "& { cd 'C:\Folder\'; [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; try { Invoke-WebRequest https://raw.githubusercontent.com/repository/folder/file.sql -Headers @{'Authorization'='token xxxxxxxxxxxxxxx';'Accept'= 'application/vnd.github.v3.raw'} -OutFile ./file.sql; Write-Output '执行成功' } catch { Write-Error $_.Exception.Message; exit 1 } }" >> C:\Folder\sql_agent_ps_log.txt 2>&1

• 若使用xp_cmdshell，执行：

EXEC xp_cmdshell 'powershell.exe -ExecutionPolicy Unrestricted -Command "& { cd ''C:\Folder\''; [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; try { Invoke-WebRequest https://raw.githubusercontent.com/repository/folder/file.sql -Headers @{''Authorization''=''token xxxxxxxxxxxxxxx'';''Accept''= ''application/vnd.github.v3.raw''} -OutFile ./file.sql; Write-Output ''执行成功'' } catch { Write-Error $_.Exception.Message; exit 1 } }" >> C:\Folder\sql_agent_ps_log.txt 2>&1'

查看生成的日志文件即可获取具体错误（如权限不足、连接失败等）。

3. 检查SQL代理服务账号权限 #

本地执行正常但代理失败，大概率是服务账号权限差异：

• 确认SQL Server代理服务账号对C:\Folder有读写权限，能创建/覆盖file.sql文件
• 切换到服务账号环境（通过runas /user:DOMAIN\ServiceAccount powershell.exe），执行Invoke-WebRequest https://github.com测试网络连通性
• 若服务器有代理，确认服务账号的环境变量中配置了正确的代理设置（本地用户的代理设置不会自动继承给服务账号）

4. 验证TLS协议与证书信任 #

近期的Windows安全更新可能禁用了旧TLS协议或更新了根证书：

• GitHub已停止支持TLS 1.0/1.1，脚本中仅保留Tls12即可（Windows Server 2012 R2默认支持TLS 1.2）
• 切换到服务账号的证书库（certmgr.msc），确认信任GitHub的根证书（DigiCert Global Root CA）

5. 确认PowerShell执行策略 #

虽然本地设置为Unrestricted，但服务账号可能受组策略或MachinePolicy限制：

• 在代理命令中显式指定-ExecutionPolicy Unrestricted参数（如上述日志命令所示）
• 切换到服务账号执行Get-ExecutionPolicy -List，确认实际生效的策略级别

内容的提问来源于stack exchange，提问作者preethi