PowerShell使用SecureString密码连接SQL Server登录失败问题咨询

直接将SecureString类型的密码对象拼入连接字符串时，PowerShell不会自动解密得到实际密码值，只会将该对象的类型名System.Security.SecureString作为密码内容传入SQL Server，和真实密码不匹配，因此触发登录失败报错。

方案1：外部文件存储安全密码场景（优先推荐） #

该方案密码以Windows DPAPI加密形式持久化存储在本地文件，仅当前Windows账号、在当前加密的机器上可解密读取，不会出现明文落盘的风险。

• 首次配置（仅需执行1次）：输入凭据后将加密密码写入文件

# 弹出凭据输入框，输入SQL账号密码
$cred = Get-Credential
# 将密码加密后写入本地文件，非授权主体无法解密
$cred.Password | ConvertFrom-SecureString | Out-File -FilePath "C:\secure_config\sql_login.secure"

• 日常脚本调用（两种写法可选）
  1. 高安全性写法（无需手动解密密码）：使用SqlCredential类直接传入SecureString，避免明文密码在内存中暴露

  $SQLServer = "."
  $SQLDBName = "TestDB"
  $loginName = "TestUser"
  # 读取外部加密文件，转换为SecureString类型
  $securePwd = Get-Content "C:\secure_config\sql_login.secure" | ConvertTo-SecureString
  
  # 构造SQL凭据对象
  $sqlCred = New-Object System.Data.SqlClient.SqlCredential($loginName, $securePwd)
  # 注意连接字符串里不能再带User ID和Password参数
  $connString = "Data Source=$SQLServer;Initial Catalog=$SQLDBName"
  $conn = New-Object System.Data.SqlClient.SqlConnection($connString)
  $conn.Credential = $sqlCred
  
  try {
      $conn.Open()
      if($conn.State -eq "Open") {
          Write-Host "Test connection successful"
          $conn.Close()
      }
  }
  finally {
      $conn.Dispose()
  }
  

  2. 兼容写法：手动解密SecureString为明文传入连接字符串，用完及时清空内存中的明文

  $SQLServer = "."
  $SQLDBName = "TestDB"
  $loginName = "TestUser"
  $securePwd = Get-Content "C:\secure_config\sql_login.secure" | ConvertTo-SecureString
  
  # 解密SecureString拿到密码值
  $bstrPtr = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($securePwd)
  $plainPwd = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($bstrPtr)
  
  try {
      $connString = "Data Source=$SQLServer;Database=$SQLDBName;User ID=$loginName;Password=$plainPwd"
      $conn = New-Object System.Data.SqlClient.SqlConnection $connString
      $conn.Open()
      if($conn.State -eq "Open") {
          Write-Host "Test connection successful"
          $conn.Close()
      }
  }
  finally {
      # 释放非托管内存，清空明文密码
      if ($bstrPtr -ne [IntPtr]::Zero) {
          [System.Runtime.InteropServices.Marshal]::ZeroFreeBSTR($bstrPtr)
      }
      $conn.Dispose()
  }
  

方案2：即时输入凭据场景 #

如果不需要持久化存储密码，每次运行脚本手动输入账号密码，直接参考下面的写法即可：

$cred = Get-Credential
$SQLServer = "."
$SQLDBName = "TestDB"

# 高安全性写法，用SqlCredential传参
$sqlCred = New-Object System.Data.SqlClient.SqlCredential($cred.UserName, $cred.Password)
$connString = "Data Source=$SQLServer;Initial Catalog=$SQLDBName"
$conn = New-Object System.Data.SqlClient.SqlConnection($connString)
$conn.Credential = $sqlCred

try {
    $conn.Open()
    if($conn.State -eq "Open") {
        Write-Host "Test connection successful"
        $conn.Close()
    }
}
finally {
    $conn.Dispose()
}

• 用默认DPAPI加密生成的密码文件，不能跨机器、不能跨Windows账号解密。如果需要跨机器/跨账号使用加密密码，可以给ConvertFrom-SecureString传入自定义AES密钥做加密，密钥文件需要严格设置NTFS权限，避免被非授权用户读取。
• 不要直接将SecureString对象拼接到需要明文值的字符串参数中，所有涉及SecureString取值的场景优先使用官方提供的原生支持类（比如本例的SqlCredential），减少明文密码暴露风险。

内容的提问来源于stack exchange，提问作者Robin Roy