CMD批处理嵌套IF语句与变量问题及SCHANNEL SSL注册表查询需求

我明白你想要的是一个能把SCHANNEL注册表值转换成人类易懂文字的批处理，还得解决嵌套IF和变量失效的坑——这在CMD里确实是个常见的小麻烦，我给你写个完整的脚本，再一步步解释关键要点。

完整批处理脚本 #

@echo off
setlocal enabledelayedexpansion

:: 定义输出文件路径，可自行修改
set "outputFile=SCHANNEL_SSL_Status_Report.txt"

:: 初始化输出文件，写入标题
echo ============================== >> !outputFile!
echo SCHANNEL SSL/TLS 协议状态报告 >> !outputFile!
echo 生成时间: %date% %time% >> !outputFile!
echo ============================== >> !outputFile!
echo. >> !outputFile!

:: 定义处理单个协议的函数（CMD里用标签模拟函数）
:CheckProtocol
:: 参数1: 协议名称（比如"SSL 2.0"）
:: 参数2: 显示名称（比如"SSLv2"）
:: 参数3: 端点类型（Server/Client）
set "protocolKey=HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\%1\%3"
set "displayName=%2 %3"

:: 查询注册表值，捕获Enabled项的数值
set "regValue="
for /f "tokens=3 skip=2" %%a in ('reg query "!protocolKey!" /v Enabled 2^>nul') do (
    set "regValue=%%a"
)

:: 判断状态并输出
if defined regValue (
    if "!regValue!"=="0x0" (
        echo !displayName!: 已启用 >> !outputFile!
    ) else if "!regValue!"=="0x1" (
        echo !displayName!: 已禁用 >> !outputFile!
    ) else (
        echo !displayName!: 未知值 [!regValue!] >> !outputFile!
    )
) else (
    :: 注册表键不存在时，根据协议提示默认行为（不同Windows版本可能有差异）
    if "%2"=="SSLv2" (
        echo !displayName!: 未配置（默认行为：已禁用） >> !outputFile!
    ) else if "%2"=="SSLv3" (
        echo !displayName!: 未配置（默认行为：已禁用） >> !outputFile!
    ) else (
        echo !displayName!: 未配置（默认行为：已启用） >> !outputFile!
    )
)
echo. >> !outputFile!
goto :eof

:: 逐个检查所有常见的SCHANNEL协议
call :CheckProtocol "SSL 2.0" "SSLv2" "Server"
call :CheckProtocol "SSL 2.0" "SSLv2" "Client"
call :CheckProtocol "SSL 3.0" "SSLv3" "Server"
call :CheckProtocol "SSL 3.0" "SSLv3" "Client"
call :CheckProtocol "TLS 1.0" "TLS1.0" "Server"
call :CheckProtocol "TLS 1.0" "TLS1.0" "Client"
call :CheckProtocol "TLS 1.1" "TLS1.1" "Server"
call :CheckProtocol "TLS 1.1" "TLS1.1" "Client"
call :CheckProtocol "TLS 1.2" "TLS1.2" "Server"
call :CheckProtocol "TLS 1.2" "TLS1.2" "Client"
call :CheckProtocol "TLS 1.3" "TLS1.3" "Server"
call :CheckProtocol "TLS 1.3" "TLS1.3" "Client"

echo 报告已生成到: !outputFile!
pause
endlocal

关键问题解决与说明 #

1. 嵌套IF与变量失效的核心解决方案：延迟扩展 #

CMD默认会预解析整个代码块（比如for循环、if块），这意味着块内的%var%会用代码块执行前的初始值，而不是实时更新后的值。解决方法就是：

• 开头加上setlocal enabledelayedexpansion开启延迟扩展
• 用!var!代替%var%来引用需要实时更新的变量（比如脚本里的!regValue!、!outputFile!）

2. 注册表查询的细节处理 #

• reg query ... 2^>nul：把查询失败的错误信息（比如注册表键不存在）重定向到nul，避免控制台输出乱码或错误提示
• for /f "tokens=3 skip=2"：skip=2跳过reg query输出的前两行表头，tokens=3提取第三列的数值（也就是注册表的Enabled值）

3. 直观解读的逻辑对应 #

根据Windows SCHANNEL的官方规则：

• Enabled=0x0：协议已启用
• Enabled=0x1：协议已禁用
• 注册表键不存在：不同协议默认行为不同（脚本里已经做了区分，比如SSLv2/3默认禁用，TLS1.0+默认启用）

4. 模块化的函数设计 #

用:CheckProtocol标签模拟函数，避免重复写相同的查询和判断代码，后续要加新协议或者修改逻辑只需要改函数部分即可。

运行这个脚本后，你会得到一个SCHANNEL_SSL_Status_Report.txt文件，里面全是类似SSLv2 Server: 已禁用这样的直观文字，再也不用对着十六进制值猜状态啦！

内容的提问来源于stack exchange，提问作者Abob