PowerShell实现加密存储用户密码及密码比对功能的方案咨询

你选择的单用户单独存储加密信息的方案更适合自助密码重置场景，优势如下：

• 权限控制粒度更细：可给每个用户的存储文件单独配置NTFS权限，避免越权读取
• 故障影响范围小：单个文件损坏仅影响对应用户，不会出现单汇总文件损坏导致全体用户数据丢失的问题
• 无并发写入冲突：多用户同时操作时不会触发单文件写入锁，服务可用性更高

使用PowerShell原生加密能力实现，默认加密规则和执行脚本的Windows账号、当前主机绑定，安全性更高：

# 定义加密文件存储目录
$storeDir = "C:\ServiceData\SecurityAnswerStore"
# 目录不存在则自动创建
if (-not (Test-Path $storeDir)) {
    New-Item -ItemType Directory -Path $storeDir | Out-Null
    # 可在此处添加目录权限配置，仅允许服务运行账号读写
}

# 接收用户输入
$userName = Read-Host "请输入用户名"
$securityAnswer = Read-Host "请输入密保问题答案" -AsSecureString

# 加密答案为可存储的字符串格式
$encryptedContent = ConvertFrom-SecureString -SecureString $securityAnswer

# 存储到对应用户的独立文件，用户名统一转小写避免大小写冲突
$targetFile = Join-Path $storeDir "$($userName.ToLower()).dat"
$encryptedContent | Out-File $targetFile -Encoding UTF8

读取已存储的加密答案，和用户新输入的内容做比对：

$storeDir = "C:\ServiceData\SecurityAnswerStore"

# 接收校验输入
$userName = Read-Host "请输入用户名"
$inputAnswer = Read-Host "请输入密保答案" -AsSecureString

$userFile = Join-Path $storeDir "$($userName.ToLower()).dat"
# 检查用户是否已设置密保答案
if (-not (Test-Path $userFile)) {
    Write-Host "用户未设置密保答案"
    exit 1
}

# 读取已存储的加密内容并转为安全字符串
$storedEncrypted = Get-Content $userFile -Raw
$storedSecureAnswer = ConvertTo-SecureString $storedEncrypted

# 转换为明文比对（仅在内存中操作，无落地风险）
$storedBSTR = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($storedSecureAnswer)
$storedPlain = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($storedBSTR)
$inputBSTR = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($inputAnswer)
$inputPlain = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($inputBSTR)

# 可选标准化处理：去除首尾空格、统一转小写，避免用户输入格式问题导致校验失败
$storedPlain = $storedPlain.Trim().ToLower()
$inputPlain = $inputPlain.Trim().ToLower()

if ($storedPlain -eq $inputPlain) {
    Write-Host "校验通过"
    # 此处可添加密码重置的后续逻辑
    exit 0
} else {
    Write-Host "校验失败，答案不匹配"
    exit 1
}

# 释放内存中的明文数据
[System.Runtime.InteropServices.Marshal]::ZeroFreeBSTR($storedBSTR)
[System.Runtime.InteropServices.Marshal]::ZeroFreeBSTR($inputBSTR)

• 默认加密规则绑定当前Windows账号和主机，如果你的服务需要跨主机部署、或者用不同账号运行，可使用AES密钥加密：提前生成256位AES密钥保存到安全路径，加密和解密时都加上-Key $密钥变量参数即可。
• 存储目录必须配置严格的NTFS权限，仅允许服务运行账号有读写权限，禁止普通用户访问。
• 如果需要更高安全性，可在比对完成后立即清空内存中的明文内容，避免内存泄露风险。

内容的提问来源于stack exchange，提问作者rolfderwolf