IIS 10.0环境下PowerShell调用无法连接NuGet源问题

算力阿峰

2026-8-28

故障诱因

运行身份权限上下文不匹配：手动执行PowerShell命令时使用的是当前服务器登录用户的上下文，该账号默认持有网络访问权限、代理凭据、用户级信任配置等资源的访问权；IIS托管场景下代码默认运行在应用程序池对应的低权限虚拟标识（通常为ApplicationPoolIdentity或Network Service）下，既无法读取当前登录用户存储的代理认证凭据，也没有对外发起HTTPS请求访问NuGet公网源的网络权限，甚至对本地项目目录、NuGet配置文件的读写权限都可能缺失。
命令拼接存在转义bug：代码中手动拼接PowerShell脚本时额外添加了多余的转义反斜杠，生成的命令中存在&\"...\nuget.exe"、"...\outDir\"这类错误写法——路径末尾的反斜杠会转义闭合引号，导致PowerShell解析参数时路径错乱，交互式PowerShell窗口对这类转义错误有容错机制，但PowerShell SDK在IIS非交互环境下不会做容错修正，直接导致参数传递错误。
NuGet配置文件格式不合法：贴出的NuGet.Config中所有<add>节点均未做自闭合/节点闭合处理，属于非法XML格式，交互式环境下NuGet会做容错解析，但非交互运行时会直接跳过错误配置节点，导致代理配置完全不生效。
环境隔离导致配置缺失：IIS进程内托管的PowerShell实例默认不会加载用户级PowerShell配置文件，默认执行策略为Restricted，也不会继承登录用户的环境变量、凭据缓存等配置，和本地手动运行的环境完全隔离。

解决方案

首先替换原有的手动拼接脚本逻辑，改用PowerShell SDK的原生参数绑定API添加命令，从根源避免转义错误，同时增加错误流捕获逻辑，方便排查问题，参考实现如下：

using(PowerShell pws = PowerShell.Create())
{
    // 先设置当前进程的PowerShell执行策略，避免脚本拦截
    pws.AddCommand("Set-ExecutionPolicy")
        .AddParameter("ExecutionPolicy", "RemoteSigned")
        .AddParameter("Scope", "Process")
        .AddParameter("Force");
    // 切换工作目录
    pws.AddCommand("Set-Location")
        .AddParameter("Path", slnDirectory);
    // 执行NuGet还原，所有参数通过SDK方法传入，无需手动加引号转义
    pws.AddCommand(nugetPath)
        .AddArgument("restore")
        .AddParameter("packagesDirectory", packagesPath)
        .AddParameter("configFile", config)
        .AddParameter("NonInteractive"); // 强制非交互模式，禁止弹出认证/确认窗口
    
    var result = pws.Invoke();
    // 必须读取错误流，原代码未捕获错误流会遗漏大量异常信息
    if (pws.HadErrors)
    {
        var errMsg = string.Join(Environment.NewLine, pws.Streams.Error.Select(e => e.ToString()));
        // 此处写入错误日志即可
    }
}

修复NuGet.Config格式错误，移除配置文件中的明文代理账号密码：把所有<add>节点改为自闭合格式，删除配置中明文存储的http_proxy.user、http_proxy.password节点，避免明文密码的权限读取问题，修正后的配置参考：

<configuration>
  <packageSources>
    <add key="nuget.org" value="https://api.nuget.org/v3/index.json" protocolVersion="3" />
  </packageSources>
  <config>
    <add key="http_proxy" value="serverX" />
  </config>
</configuration>

配置IIS应用程序池权限：
- 将对应站点的应用程序池托管标识改为一个有本地文件读写权限、可正常访问外网/代理服务器的专用本地账号或域账号，不要使用默认的虚拟标识。
- 给该账号授予解决方案目录、NuGet.exe所在目录、包输出目录的读取、写入、执行NTFS权限。
- 切换到该专用账号登录服务器，打开Windows凭据管理器（运行control keymgr.dll），添加代理服务器对应的通用凭据，存入代理认证的用户名、密码，NuGet发起请求时会自动读取系统凭据完成代理认证，无需在配置文件中存储明文密码。
- 右键查看NuGet.exe属性，如果存在“解除锁定”按钮则点击解锁，避免Windows的附件执行服务拦截IIS进程中该程序的运行。
权限验证：用配置好的应用程序池专用账号登录服务器，在非管理员PowerShell窗口中手动执行一次NuGet还原命令，确认命令执行成功后，再重启IIS站点验证功能。

内容的提问来源于stack exchange，提问作者Youshida