PowerShell远程添加用户报错：无法转换System.Security.SecureString类型

你的问题根源很明确：你通过字符串拼接的方式构建New-LocalUser命令，导致SecureString对象被转换成了它的字符串表示"System.Security.SecureString"，而不是传递实际的SecureString对象。当PowerShell尝试把这个字符串绑定到-Password参数时，自然会抛出类型转换错误。

问题出在哪里？ #

看这段代码：

$cmd = "New-LocalUser -Name " + $commands.Name + $desc + $arg + $npass

当你把$npass（SecureString类型）拼进字符串时，PowerShell会自动调用它的ToString()方法，结果就是字符串"System.Security.SecureString"，而不是实际的加密密码对象。远程执行这个命令时，New-LocalUser收到的是这个字符串，而非SecureString，所以报错。

修正方案：直接使用脚本块而非字符串拼接 #

正确的做法是直接在脚本块中引用变量，或者使用参数哈希表来调用New-LocalUser，这样能保留变量的原始类型。下面是修正后的完整脚本：

$path = (Get-Location).ToString() + "\..\..\script\PS\lib.ps1"
Import-Module -Name $path

# 加载配置文件
$json = (Get-Location).ToString() + "\..\..\misc\json\user.json"
$userinfo = Get-Content $json | ConvertFrom-Json

$uj = (Get-Location).ToString() + "\..\..\misc\json\userToAdd.json"
$commands = Get-Content $uj | ConvertFrom-Json

# 构建New-LocalUser的参数哈希表
$newUserParams = @{
    Name = $commands.Name
}

# 处理禁用状态
if ($commands.isEnable -eq "False") {
    $newUserParams['Disabled'] = $true
}

# 处理密码逻辑
if ([string]::IsNullOrEmpty($commands.password)) {
    $newUserParams['NoPassword'] = $true
} else {
    $newUserParams['Password'] = $commands.password | ConvertTo-SecureString -AsPlainText -Force
}

# 处理描述
if (-not [string]::IsNullOrEmpty($commands.Description)) {
    $newUserParams['Description'] = $commands.Description
}

# 直接构建脚本块，引用参数哈希表
$ScriptBlock = {
    param($userParams)
    New-LocalUser @userParams
}

# 远程执行创建用户命令
ExcuteRemoteCommand -serverAddress $userinfo.ip -ServerUsername $userinfo.user -ServerPassword $userinfo.password -code $ScriptBlock -ArgumentList $newUserParams

# 处理登录密码修改设置
$logonScriptBlock = {
    param($userName, $requireChange)
    $flag = if ($requireChange) { "yes" } else { "no" }
    net user $userName /logonpasswordchg:$flag
}

$requireChange = ($commands.logon -eq "True")
ExcuteRemoteCommand -serverAddress $userinfo.ip -ServerUsername $userinfo.user -ServerPassword $userinfo.password -code $logonScriptBlock -ArgumentList $commands.Name, $requireChange

Read-Host
Exit

关键改进点： #

1. 使用参数哈希表：通过@newUserParams（splatting语法）传递参数，确保每个参数的类型都被正确保留，尤其是SecureString类型的密码。
2. 直接定义脚本块：避免从字符串创建脚本块，这样变量的类型不会丢失，代码也更安全（防止注入风险）。
3. 使用-ArgumentList传递参数：远程执行脚本块时，通过官方支持的方式传递参数，而不是把参数拼进字符串。
4. 简化条件判断：用[string]::IsNullOrEmpty更严谨地判断空字符串，逻辑更清晰。

额外建议： #

• 如果你的ExcuteRemoteCommand是封装了Invoke-Command，可以直接使用Invoke-Command的-ArgumentList参数传递变量，这是PowerShell远程执行的标准做法。
• 尽量避免把明文密码保存在JSON文件中，如果可以的话，考虑使用PowerShell的凭据管理（比如Get-Credential）来安全存储密码。

内容的提问来源于stack exchange，提问作者Teo230