从高权限PowerShell捕获低权限进程输出的方法与优化

一、捕获最内层低权限PowerShell的输出 #

当前多层进程嵌套（高权限PS1→BAT→低权限PS1）导致无法直接获取最内层输出，核心原因是RunAs启动的进程输出未被BAT脚本转发到上层。可通过以下两种方式解决：

• 低权限脚本内重定向输出：在低权限PS1脚本中，将Git命令的输出直接写入临时文件，待进程结束后由高权限脚本读取：

  # 低权限lowpriv_clone.ps1代码
  git clone "https://github.com/xxx/xxx.git" "C:\target\path" > "$env:TEMP\clone_output.log" 2>&1
  

• BAT脚本中重定向RunAs输出：修改BAT脚本，将RunAs启动的PowerShell输出直接定向到文件，避免输出丢失：

  @echo off
  RunAs /trustlevel:0x20000 /machine powershell.exe -File "lowpriv_clone.ps1" > "%TEMP%\clone_output.log" 2>&1
  

二、Windows 11 22H2下RunAs的兼容问题 #

Windows 11 22H2更新后，使用RunAs /trustlevel:0x20000会触发“参数不正确”错误，解决方法是添加/machine参数，完整命令示例：

RunAs /trustlevel:0x20000 /machine powershell.exe -File "lowpriv_clone.ps1"

三、简化实现方案（无需多层进程嵌套） #

方案1：高权限克隆后调整目录权限 #

无需启动低权限进程，直接在高权限下完成Git克隆，随后修改目标目录权限，允许普通用户访问。这种方式流程更简洁，完全规避多层进程的输出捕获问题：

# 高权限下克隆Git仓库
git clone "https://github.com/xxx/xxx.git" "C:\clone\target\path"

# 获取目录权限对象
$acl = Get-Acl "C:\clone\target\path"
# 创建普通用户组的权限规则（可按需调整权限范围）
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
    "Users",
    "ReadAndExecute,Modify,ListDirectory",
    "ContainerInherit,ObjectInherit",
    "None",
    "Allow"
)
# 添加权限规则并应用
$acl.AddAccessRule($accessRule)
Set-Acl "C:\clone\target\path" $acl

方案2：直接用高权限PowerShell调用RunAs（无需BAT） #

去掉中间的BAT脚本，直接在高权限PowerShell中通过Start-Process调用RunAs启动低权限PowerShell，同时重定向输出到临时文件：

$tempLogPath = Join-Path $env:TEMP "git_clone_$(Get-Random).log"

# 构造RunAs命令参数
$runAsArgs = @(
    "/trustlevel:0x20000",
    "/machine",
    "powershell.exe",
    "-File", "C:\path\to\lowpriv_clone.ps1"
)

# 启动低权限进程并等待结束
Start-Process -FilePath "runas.exe" -ArgumentList $runAsArgs -Wait -NoNewWindow `
    -RedirectStandardOutput $tempLogPath -RedirectStandardError $tempLogPath

# 读取并处理输出
Get-Content $tempLogPath
# 清理临时文件
Remove-Item $tempLogPath -Force

内容的提问来源于stack exchange，提问作者BlueMonkMN