设计多部分PowerShell脚本的最佳方法（避免Invoke-Expression）

一、替换Invoke-Expression的安全调用方式 #

Invoke-Expression的核心风险在于会将字符串作为代码解析执行，易引入注入漏洞。用PowerShell原生的&调用操作符是更安全的替代方案，它可直接执行指定路径的脚本并传递参数，无需解析字符串：

# 读取模块定义
$definitions = Get-Content -Path "definitions.json" | ConvertFrom-Json

foreach ($module in $definitions) {
    $scriptPath = Resolve-Path -Path $module.script -ErrorAction Stop
    $dataPath = ".\somedata.json"
    # 用&直接调用脚本并传参，返回结果路径
    $resultPath = & $scriptPath -DataPath $dataPath
    $collectedResults += $resultPath
}

这种方式既规避了Invoke-Expression的安全风险，又完全保留原有的模块调用逻辑。

二、解决脚本篡改验证问题 #

要防止可信脚本被篡改，可采用哈希校验或数字签名两种落地方案：

1. 哈希校验方案 #

在definitions.json中为每个模块添加预先计算的哈希值（推荐SHA256），runner.ps1执行前校验脚本当前哈希与预存值是否一致：

更新后的definitions.json结构：

[
   {
    "script": "modules/module1.ps1", 
    "name":"some script name", 
    "comment":"some comment here",
    "hash": "5D41402ABC4B2A76B9719D911017C592"
   }
]

runner.ps1中的校验逻辑：

foreach ($module in $definitions) {
    $scriptPath = Resolve-Path -Path $module.script -ErrorAction Stop
    # 计算当前脚本的SHA256哈希
    $currentHash = (Get-FileHash -Path $scriptPath -Algorithm SHA256).Hash
    # 对比预存哈希，不一致则终止
    if ($currentHash -ne $module.hash) {
        Write-Error "模块 $($module.name) 已被篡改，终止执行"
        exit 1
    }
    # 校验通过后调用脚本
    $resultPath = & $scriptPath -DataPath $dataPath
    $collectedResults += $resultPath
}

2. 数字签名方案 #

为每个模块脚本添加PowerShell数字签名（用Set-AuthenticodeSignature命令），runner.ps1执行前验证签名有效性：

foreach ($module in $definitions) {
    $scriptPath = Resolve-Path -Path $module.script -ErrorAction Stop
    # 验证脚本签名状态
    $signature = Get-AuthenticodeSignature -FilePath $scriptPath
    if ($signature.Status -ne "Valid") {
        Write-Error "模块 $($module.name) 签名无效或已篡改，终止执行"
        exit 1
    }
    # 签名有效后调用脚本
    $resultPath = & $scriptPath -DataPath $dataPath
    $collectedResults += $resultPath
}

数字签名方案更适配企业环境，可结合内部证书管理体系确保脚本来源可信。

三、流程优化建议 #

原流程中模块通过返回JSON文件路径传递结果，可改为直接返回PowerShell对象，减少磁盘IO开销：

修改后的模块脚本示例 #

param(
    [Parameter(Mandatory=$true)]
    [string]$DataPath
)

# 加载原始数据
$data = Get-Content -Path $DataPath | ConvertFrom-Json
# 执行处理逻辑
$processedData = $data | ForEach-Object {
    [PSCustomObject]@{
        OriginalValue = $_.Value
        ProcessedValue = $_.Value * 2
    }
}
# 直接返回处理后的对象，无需写入文件
return $processedData

runner.ps1中收集结果的逻辑 #

$allResults = @()
foreach ($module in $definitions) {
    # 省略校验逻辑
    $moduleResult = & $scriptPath -DataPath $dataPath
    $allResults += [PSCustomObject]@{
        ModuleName = $module.name
        ModuleComment = $module.comment
        Results = $moduleResult
    }
}
# 后续直接用$allResults格式化邮件内容，无需再读取JSON文件

这种方式既提升了执行效率，又简化了数据传递的复杂度。

内容的提问来源于stack exchange，提问作者soralex