如何在PowerShell脚本中安全存储并取回用户名？

一、加密并存储用户名 #

要加密用户名，流程和处理密码逻辑一致：先将明文用户名转为SecureString，再加密为可持久化存储的字符串格式（默认基于当前用户/机器的Windows DPAPI加密，仅能在同一环境下解密）。

示例脚本：

# 明文用户名
$plainUsername = 'DOMAIN\user'

# 转换为SecureString并加密为字符串
$encryptedUsername = ConvertTo-SecureString $plainUsername -AsPlainText -Force | ConvertFrom-SecureString

# 保存到文件（也可存储为配置项或变量）
$encryptedUsername | Out-File -Path 'C:\your-path\encrypted_username.txt'

二、读取并解密用户名 #

使用时反向转换，提取明文用户名供PSCredential使用：

# 读取加密后的用户名
$encryptedUsername = Get-Content -Path 'C:\your-path\encrypted_username.txt'

# 转为SecureString
$secureUsername = $encryptedUsername | ConvertTo-SecureString

# 提取明文（PSCredential构造函数需要字符串格式的用户名）
$pointer = [System.Runtime.InteropServices.Marshal]::SecureStringToCoTaskMemUnicode($secureUsername)
$decryptedUsername = [System.Runtime.InteropServices.Marshal]::PtrToStringUni($pointer)
[System.Runtime.InteropServices.Marshal]::ZeroFreeCoTaskMemUnicode($pointer)

三、整合现有脚本使用 #

将用户名解密逻辑与你现有的密码处理流程整合，生成凭据对象：

# 读取并解密用户名
$encryptedUsername = Get-Content -Path 'C:\your-path\encrypted_username.txt'
$secureUsername = $encryptedUsername | ConvertTo-SecureString
$pointer = [System.Runtime.InteropServices.Marshal]::SecureStringToCoTaskMemUnicode($secureUsername)
$decryptedUsername = [System.Runtime.InteropServices.Marshal]::PtrToStringUni($pointer)
[System.Runtime.InteropServices.Marshal]::ZeroFreeCoTaskMemUnicode($pointer)

# 处理加密密码（移除原脚本中重复的ConvertTo-SecureString调用）
$encryptedPassword = '01000000d08c9ddf0115d1118c7a00c04fc297eb010.........'
$securePassword = $encryptedPassword | ConvertTo-SecureString

# 创建凭据对象
$Credential = New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList $decryptedUsername, $securePassword

# 执行后续操作
# Do something

注意事项 #

• 默认加密依赖当前用户的DPAPI，仅能在加密时的同一用户、同一机器上解密。若需跨机器/用户解密，需使用自定义密钥（加密和解密时指定ConvertFrom-SecureString -Key参数，且双方共用同一密钥）。
• 处理完SecureString后必须调用ZeroFreeCoTaskMemUnicode清空内存中的明文，避免信息泄露。

内容的提问来源于stack exchange，提问作者Arbelac