如何为本地用户持久化存储SecureString类型环境变量？

问题描述 #

我希望为本地用户保存SecureString类型的变量，以便在.ps1文件中通过ConvertFrom-SecureString调用REST API时避免密码泄露。但我用以下代码尝试后并未生效：

$PlainPassword = "atestpassword"
$SecurePassword = $PlainPassword | ConvertTo-SecureString -AsPlainText -Force
[Environment]::SetEnvironmentVariable('JiraCreds', $SecurePassword, "User")

想请教下：环境变量是否仅能以特定类型保存？

解决方案 #

这个需求是完全可行的，但你的代码存在一个核心问题——Windows环境变量只能存储字符串类型，无法直接保存SecureString对象。当你尝试把SecureString传入SetEnvironmentVariable时，PowerShell会自动将其转为字符串表示（也就是System.Security.SecureString），这显然不是你需要的加密内容。

正确的做法是先把SecureString转换为加密后的字符串，再存入环境变量，读取时再转回到SecureString。具体步骤如下：

1. 保存加密后的密码到用户环境变量 #

$PlainPassword = "atestpassword"
# 将明文密码转为SecureString
$SecurePassword = $PlainPassword | ConvertTo-SecureString -AsPlainText -Force
# 将SecureString转为加密字符串（默认使用当前用户的DPAPI加密）
$EncryptedPassword = $SecurePassword | ConvertFrom-SecureString
# 保存到用户级环境变量
[Environment]::SetEnvironmentVariable('JiraCreds', $EncryptedPassword, "User")

2. 在脚本中读取并还原SecureString #

# 从用户环境变量读取加密字符串
$EncryptedPassword = [Environment]::GetEnvironmentVariable('JiraCreds', "User")
# 将加密字符串转回SecureString
$SecurePassword = $EncryptedPassword | ConvertTo-SecureString

# 示例：用SecureString创建PSCredential对象（如果API需要）
$Credential = New-Object System.Management.Automation.PSCredential("your-username", $SecurePassword)
# 后续即可用$Credential或$SecureString调用REST API

补充说明 #

• ConvertFrom-SecureString默认使用**当前用户的DPAPI（数据保护API）**加密，这意味着只有同一个用户在同一台机器上才能解密该字符串，安全性有保障。
• 如果需要跨机器或用户共享加密后的密码，可以在ConvertFrom-SecureString时指定-Key参数自定义加密密钥，但本地用户场景下默认方式已经足够安全。

内容的提问来源于stack exchange，提问作者shoppers1d3e