基于XML定义Autodesk卸载筛选条件的Invoke-Expression安全验证咨询

核心需求 #

• 筛选Autodesk软件的有效卸载字符串（Autodesk未遵循Windows标准，存在大量无效MSIExec卸载注册表项）
• 已定义20条筛选条件，要求无需修改主代码，仅通过更新XML文件即可扩展新条件
• 现有逻辑：通过$rawKeys存储注册表卸载键，循环遍历并标记需跳过的无效项

过往尝试与问题 #

最初将PowerShell筛选条件转换为XML格式，计划用Invoke-Expression解析执行，但发现存在严重的代码注入风险。为此尝试过以下验证手段：

• 检查条件字符串中是否包含分号、空格等可能触发命令执行的特殊字符
• 用Get-Command检测条件中是否包含可执行命令
• 考虑为XML文件添加数字签名作为额外安全防护

当前方案：使用$ExecutionContext.InvokeCommand.ExpandString #

因遇到带空格的合法条件场景，转而使用$ExecutionContext.InvokeCommand.ExpandString处理XML中的条件表达式，且严格限制仅用于字符串比较操作。现需确认：

• 该方案是否能完全规避代码注入风险？
• 是否存在未覆盖的安全漏洞？

备选方案：签名PSM1模块更新条件 #

放弃XML配置方式，将筛选条件保留在PowerShell模块（PSM1）中，通过数字签名的模块文件来更新条件。需评估：

• 这种方案是否比XML+ExpandString更安全？
• 是否更符合长期维护的需求？

内容的提问来源于stack exchange，提问作者Gordon