为何PowerShell命令在控制台运行正常，作为脚本却返回全部证书指纹？

问题原因 #

核心原因是 脚本运行时$certcn变量实际为空值/$null：

• 在PowerShell中，字符串的Contains()方法传入$null或空字符串时，会固定返回$true，导致Where-Object的筛选条件对所有证书都生效，最终返回全部证书的指纹。
• 控制台执行正常是因为你在当前会话中已经提前给$certcn赋过有效值，而脚本运行时是独立的作用域，你没有给脚本内的$certcn完成正确赋值，常见赋值失效场景包括：
  • 你把$certcn设为脚本参数，但运行脚本时没有传入对应参数值
  • 脚本内$certcn的赋值逻辑（比如读配置、取参数）执行失败，返回了空值
  • 变量名拼写错误，导致实际调用的变量和赋值的变量不是同一个

排查方案 #

在脚本中$certcn赋值后、筛选证书前加一行校验代码，确认变量值是否符合预期：

# 输出变量实际值排查
Write-Host "当前certcn取值为：[$certcn]"
# 加空值拦截逻辑，避免空值导致全量匹配
if ([string]::IsNullOrWhiteSpace($certcn)) {
    throw "certcn变量为空，请检查赋值逻辑"
}

优化后的代码 #

可以优化筛选逻辑，从根源避免空值导致的全匹配问题，同时支持大小写不敏感的域名匹配：

$crt = (Get-ChildItem -Path Cert:\LocalMachine\WebHosting\ | Where-Object {
    # 先判断$certcn非空，再做匹配
    -not [string]::IsNullOrWhiteSpace($certcn) -and 
    $_.Subject.IndexOf($certcn, [System.StringComparison]::OrdinalIgnoreCase) -ge 0
}).Thumbprint

# 如果要确保只返回单个匹配的指纹，可以加取第一个的逻辑
# $crt = $crt | Select-Object -First 1

内容的提问来源于stack exchange，提问作者Vershner