如何通过PowerShell从文本文件恢复安全字符串？跨机器异常解惑

1. 输出"不一致"的原因：操作误区+对象类型差异 #

你大概率搞反了ConvertTo-SecureString和ConvertFrom-SecureString的用法，且混淆了对象类型的显示结果：

• 正确流程是：
  • 将明文密码转为SecureString对象：

    $securePwd = Read-Host "输入密码" -AsSecureString
    

  • 将SecureString转为可存储的加密字符串并写入文件：

    ConvertFrom-SecureString $securePwd | Out-File "C:\pwd_store.txt"
    

  • 恢复时从文件读取加密字符串，转回SecureString：

    $restoredSecurePwd = Get-Content "C:\pwd_store.txt" | ConvertTo-SecureString
    

• 你觉得"输出不一致"，是因为直接输出$restoredSecurePwd时，PowerShell显示的是SecureString对象的类型标识（System.Security.SecureString），而非文件里的加密字符串。验证恢复是否正确的方法是将SecureString转回明文对比：

  [System.Net.NetworkCredential]::new("", $restoredSecurePwd).Password
  

  如果结果和原密码一致，说明恢复完全正常。

2. 跨机器无法使用的核心原因：DPAPI加密绑定限制 #

默认情况下，ConvertFrom-SecureString使用Windows DPAPI（数据保护API）加密，该加密机制绑定当前用户账号+当前机器：

• 加密时会使用用户的登录凭据和机器的本地密钥生成加密密钥
• 其他机器没有对应的本地密钥，即使用同一个用户账号登录，也无法解密该加密字符串

这是机制本身的限制，不是你的操作错误。

3. 跨机器使用的解决方案：自定义加密密钥 #

要实现跨机器复用，必须指定自定义的AES加密密钥，脱离DPAPI的机器绑定：

步骤1：生成并保存AES密钥 #

# 生成32位AES密钥（256位加密）
$key = New-Object Byte[] 32
[System.Security.Cryptography.RNGCryptoServiceProvider]::Create().GetBytes($key)
# 将密钥导出为Base64字符串方便存储/传输
$keyBase64 = [Convert]::ToBase64String($key)
$keyBase64 | Out-File "C:\aes_key.txt"

注意：这个密钥必须妥善保管，泄露密钥等于泄露密码。

步骤2：用自定义密钥加密并存储密码 #

$securePwd = Read-Host "输入密码" -AsSecureString
# 读取密钥并转回字节数组
$key = [Convert]::FromBase64String((Get-Content "C:\aes_key.txt" -Raw))
# 用密钥加密SecureString并写入文件
ConvertFrom-SecureString $securePwd -Key $key | Out-File "C:\pwd_store.txt"

步骤3：跨机器恢复密码并调用cmdkey #

# 读取密钥和加密后的密码
$key = [Convert]::FromBase64String((Get-Content "C:\aes_key.txt" -Raw))
$restoredSecurePwd = Get-Content "C:\pwd_store.txt" | ConvertTo-SecureString -Key $key
# 将SecureString转为明文（cmdkey需要明文密码）
$plainPwd = [System.Net.NetworkCredential]::new("", $restoredSecurePwd).Password
# 添加到cmdkey
cmdkey /add:你的目标服务器地址 /user:你的用户名 /pass:$plainPwd

内容的提问来源于stack exchange，提问作者Dmitry Dorofeev