C#调用PowerShell获取PSCredential，实现指定用户运行的Windows服务

一、WPF环境下安全获取用户凭据 #

避免自定义弹窗或明文密码处理，优先使用系统原生凭据对话框：

• 使用Windows API Code Pack的CredentialDialog（需安装NuGet包WindowsAPICodePack-Shell）：这是系统级对话框，符合安全规范，直接返回SecureString格式的密码，无需处理明文。

  using Microsoft.WindowsAPICodePack.Dialogs;
  
  var credentialDialog = new CredentialDialog
  {
      Title = "服务运行凭据",
      Message = "请输入用于运行Windows服务的用户凭据",
      ShowSaveCheckBox = false
  };
  
  if (credentialDialog.ShowDialog() == System.Windows.Forms.DialogResult.OK)
  {
      SecureString securePassword = credentialDialog.Credential.SecurePassword;
      string userName = credentialDialog.Credential.UserName;
      // 后续传递给PowerShell
  }
  

• 原生PInvoke方案：若不想引入依赖，可调用CredUIPromptForWindowsCredentials，但务必将返回的密码转换为SecureString，处理完成后立即释放：

  // 简化示例，需自行实现PInvoke声明
  IntPtr passwordPtr = IntPtr.Zero;
  try
  {
      if (CredUIPromptForWindowsCredentials(... , out passwordPtr))
      {
          SecureString securePassword = new SecureString();
          char* pwdChars = (char*)passwordPtr;
          for (int i = 0; pwdChars[i] != '\0'; i++)
          {
              securePassword.AppendChar(pwdChars[i]);
          }
          securePassword.MakeReadOnly();
          // 使用securePassword
      }
  }
  finally
  {
      if (passwordPtr != IntPtr.Zero)
      {
          CredFree(passwordPtr);
      }
  }
  

二、通过C#调用PowerShell创建服务 #

使用SecureString构造PSCredential，避免明文密码暴露：

using System.Management.Automation;
using System.Security;

// 假设已获取userName和securePassword
var psCredential = new PSCredential(userName, securePassword);

using (var psInstance = PowerShell.Create())
{
    psInstance.AddCommand("New-Service")
              .AddParameter("Name", "YourServiceName")
              .AddParameter("BinaryPathName", @"C:\YourService\Service.exe")
              .AddParameter("Credential", psCredential)
              .AddParameter("DisplayName", "自定义服务")
              .AddParameter("Description", "示例Windows服务");

    var results = psInstance.Invoke();
    if (psInstance.HadErrors)
    {
        foreach (var error in psInstance.Streams.Error)
        {
            // 处理错误日志或提示用户
        }
    }
}

三、直接使用当前登录用户作为服务运行身份 #

无需用户输入凭据，直接获取当前用户身份，前提是当前用户拥有管理员权限：

using System.Management.Automation;
using System.Security.Principal;

var currentUser = WindowsIdentity.GetCurrent();
string userName = currentUser.Name;

using (var psInstance = PowerShell.Create())
{
    psInstance.AddCommand("New-Service")
              .AddParameter("Name", "YourServiceName")
              .AddParameter("BinaryPathName", @"C:\YourService\Service.exe")
              .AddParameter("UserName", userName)
              .AddParameter("DisplayName", "自定义服务")
              .AddParameter("Description", "示例Windows服务");

    var results = psInstance.Invoke();
    // 错误处理同上
}

四、安全注意事项 #

• 所有密码操作必须使用SecureString，禁止将密码转换为明文字符串。
• 操作完成后立即调用SecureString.Dispose()释放内存中的敏感数据。
• 安装程序必须以管理员权限运行，可在WPF项目的app.manifest中设置：

  <requestedExecutionLevel level="requireAdministrator" uiAccess="false" />
  

内容的提问来源于stack exchange，提问作者Andy Wynn