PowerShell中使用AWS ECR get-login-password与--password-stdin的问题

问题根因 #

AWS官方提供的单行ECR登录命令在CMD下可正常运行，但在PowerShell中会返回400 Bad Request错误，核心原因是PowerShell默认管道传递文本内容时，会自动在输出结果末尾追加Windows格式的换行/回车符，docker login --password-stdin读取到带多余控制字符的密码就会认证失败。

可用方案（无安全警告、兼容PowerShell 5.1/7.x） #

直接用下面带换行清理的单行命令就行，密码全程走标准输入传递，不会弹那个--password不安全的警告，也不会报400：

aws ecr get-login-password --region <你的AWS区域> | Out-String -NoNewline | docker login --username AWS --password-stdin <你的AWS账号ID>.dkr.ecr.<你的AWS区域>.amazonaws.com

如果是老版本PowerShell跑上面的命令还是报错，就先把取到的密码首尾的空白、换行全部清掉，再走管道传给docker，效果一样，也符合安全要求：

$ecrPassword = (aws ecr get-login-password --region <你的AWS区域>).Trim()
$ecrPassword | docker login --username AWS --password-stdin <你的AWS账号ID>.dkr.ecr.<你的AWS区域>.amazonaws.com

踩过的无效坑 #

• 网上很多教程说的echo $(aws ecr get-login-password ...) | docker login ...写法没用：PowerShell里echo是Write-Output的别名，输出内容的时候默认还是会加换行，根本清不掉多余的控制字符。
• 把密码存成变量直接跟在--password后面传参的写法虽然能登进去，但密码会明文暴露在进程的启动参数里，同服务器上的其他用户只要拉进程列表就能看到密码，会触发安全警告，生产环境绝对别这么用。

注意点 #

• 跑命令前先确认本地AWS CLI已经配好有效凭证，账号要有对应ECR仓库的拉取/推送权限
• 命令里的区域、12位AWS账号ID记得换成自己环境的实际值
• 别把密码硬写在脚本里，也别手动输到命令行参数里，走管道传是最稳妥的，能避免凭证留存在命令历史或者进程列表里

内容的提问来源于stack exchange，提问作者Eternal21