使用SignTool.exe批量签名文件遇UAC弹窗及Start-Process无效问题求助

可行实现方式 #

1. 一次性提升会话权限（推荐） #

直接以管理员身份启动PowerShell会话，在该会话内完成所有批量签名操作，全程仅需一次UAC授权：

# 检查当前会话是否为管理员，非管理员则自动重启提升权限
$currentPrincipal = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())
if (-not $currentPrincipal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) {
    Start-Process powershell.exe "-NoProfile -ExecutionPolicy Bypass -File `"$PSCommandPath`"" -Verb RunAs
    exit
}

# 批量签名逻辑
$signTool = "$PSScriptRoot\signtool.exe"
# 指定要签名的文件路径，可根据需求调整
$filesToSign = Get-ChildItem -Path "C:\Your\PS\Files\Path" -Filter *.ps1

foreach ($file in $filesToSign) {
    # 直接调用SignTool，无需重复提权
    & $signTool sign /fd sha256 /tr "http://ts.ssl.com" /n 'Pragmatic Praxis' $file.FullName
    Write-Host "已完成签名：$($file.FullName)"
}

2. 任务计划程序（适合无人值守场景） #

创建一个高权限的定时/按需任务，配置时仅需一次授权，后续运行无需UAC：

• 创建任务时选择「使用最高权限运行」
• 操作项设置为启动PowerShell，参数指向你的签名脚本
• 触发方式可设为手动触发或定时触发

3. 调整UAC级别（不推荐） #

将UAC调整为「从不通知」，但会降低系统安全性，仅适合测试环境使用。

你当前操作的错误点 #

1. 参数传递格式错误 #

两种方式都将参数拼接为带单引号的字符串传递给-ArgumentList，导致SignTool无法正确解析参数。PowerShell中-ArgumentList要求参数以数组形式传递，而非带引号的整体字符串。正确写法应为：

$arguments = @('sign', '/fd', 'sha256', '/tr', 'http://ts.ssl.com', '/n', 'Pragmatic Praxis', $source)
Start-Process $signTool -ArgumentList $arguments -Verb RunAs -NoNewWindow -Wait

（添加-NoNewWindow -Wait可在当前窗口查看执行日志，便于排查问题）

2. 方式二的Credential参数不适用 #

-Credential参数用于在指定用户会话下运行进程，但该用户若无管理员权限则无法完成签名；且跨会话运行时无法继承当前环境的文件路径、权限等，导致签名无效果。同时该参数与UAC授权无直接关联，无法解决多次弹窗问题。

3. 未捕获执行日志 #

默认Start-Process会启动新窗口且不保留输出，你无法看到SignTool的错误信息（比如参数解析失败、权限不足等），导致误以为无效果。添加-RedirectStandardError error.log或-NoNewWindow可捕获执行日志，定位问题。

内容的提问来源于stack exchange，提问作者Gordon