如何解决PSScriptAnalyzer自定义规则PSAvoidRuleSuppression的自抑制检测失效问题？

我完全懂你的痛点——你写的规则能很好地揪出常规的规则抑制操作，但一旦有人直接抑制PSAvoidRuleSuppression本身，PSScriptAnalyzer的默认逻辑会直接跳过执行你的规则，导致这个“自抑制”的漏洞完全没被发现。核心问题在于：PSScriptAnalyzer会在执行规则前先检查抑制属性，如果规则被标记为需要抑制，对应的Measure-*函数根本不会被调用，自然没法检测到针对自身的抑制操作。

下面是一个精准的解决方案，通过自定义规则抑制处理器绕过这个限制，让你的规则即使被“自抑制”也能正常运行，并把这种行为标记为错误：

解决方案步骤 #

1. 实现自定义规则抑制处理器 #

PSScriptAnalyzer允许通过实现IRuleSuppressionHandler接口来自定义抑制逻辑。我们可以编写一个处理器，让PSAvoidRuleSuppression规则不受自身抑制的影响，强制它运行：

using namespace Microsoft.Windows.PowerShell.ScriptAnalyzer
using namespace Microsoft.Windows.PowerShell.ScriptAnalyzer.Generic

# 自定义抑制处理器：让PSAvoidRuleSuppression规则不受抑制影响
class AvoidRuleSuppressionHandler : IRuleSuppressionHandler {
    [bool] ShouldSuppress([DiagnosticRecord]$diagnosticRecord, [SuppressionInfo]$suppressionInfo) {
        # 针对PSAvoidRuleSuppression规则的抑制，直接忽略（不生效）
        if ($diagnosticRecord.RuleName -eq 'PSAvoidRuleSuppression') {
            return $false
        }
        # 其他规则遵循默认的抑制逻辑
        return $suppressionInfo.ShouldSuppress
    }
}

2. 注册处理器并完善原有规则 #

在你的模块代码里，先注册这个自定义处理器，然后保留原有规则的逻辑（确保检测到自抑制时标记为Error）。完整的模块代码如下：

using namespace System.Management.Automation.Language
using namespace Microsoft.Windows.PowerShell.ScriptAnalyzer
using namespace Microsoft.Windows.PowerShell.ScriptAnalyzer.Generic

# 1. 定义自定义规则抑制处理器
class AvoidRuleSuppressionHandler : IRuleSuppressionHandler {
    [bool] ShouldSuppress([DiagnosticRecord]$diagnosticRecord, [SuppressionInfo]$suppressionInfo) {
        if ($diagnosticRecord.RuleName -eq 'PSAvoidRuleSuppression') {
            return $false
        }
        return $suppressionInfo.ShouldSuppress
    }
}

# 2. 注册处理器（模块加载时生效）
$suppressionHandler = [AvoidRuleSuppressionHandler]::new()
[RuleSuppressionHandler]::Register($suppressionHandler)

# 3. 原有规则逻辑（保留自抑制检测的Error标记）
function Measure-AvoidRuleSuppression {
    [CmdletBinding()]
    [OutputType([DiagnosticRecord])]
    param (
        [Parameter(Mandatory = $true)]
        [ValidateNotNullOrEmpty()]
        [ScriptBlockAst] $ScriptBlockAst
    )

    process {
        [ScriptBlock]$Predicate = {
            param ([Ast]$Ast)
            $Ast -is [AttributeAst] -and 
            $Ast.TypeName.FullName -eq 'System.Diagnostics.CodeAnalysis.SuppressMessageAttribute'
        }

        $Violations = $ScriptBlockAst.FindAll($Predicate, $False)
        foreach ($Violation in $Violations) {
            $Extent = $Violation.Extent
            $suppressedRule = $Violation.PositionalArguments[0].Value

            # 生成诊断记录
            [DiagnosticRecord]@{
                Message  = "Avoid rule suppression: $Extent"
                Extent   = $Extent
                RuleName = 'PSAvoidRuleSuppression'
                Severity = if ($suppressedRule -eq 'PSAvoidRuleSuppression') {
                    'Error'
                } else {
                    'Information'
                }
                RuleSuppressionID = $null
            }
        }
    }
}

Export-ModuleMember -Function Measure-*

方案原理 #

1. 自定义抑制处理器：通过AvoidRuleSuppressionHandler，我们告诉PSScriptAnalyzer：任何针对PSAvoidRuleSuppression的抑制请求都无效，这个规则必须强制运行。
2. 保留原有逻辑：当规则运行时，它会扫描所有SuppressMessageAttribute，一旦发现是针对自身的抑制，就返回Error级别的诊断记录——这会在GitLab流水线里被标记为阻塞性错误，完全杜绝了用户通过自抑制绕过规则的可能。

验证效果 #

当有人尝试添加自抑制代码时：

[System.Diagnostics.CodeAnalysis.SuppressMessageAttribute('PSAvoidRuleSuppression', '')]
Param()
Write-Host 'Test'

你的规则会正常执行，检测到这个自抑制属性，并返回Error级别的结果，直接在GitLab里阻断流水线，完美补上了之前的漏洞。

内容来源于stack exchange