每个人都可以，
拥有SSL证书

Windows 上跑个 ps1 脚本，经常不是脚本本身报错，而是执行策略或者权限先把你拦在门外。这两天正好又处理了几个相关的问题，把经验和常用的命令整理一下，后面再遇到可以直接翻。

先说最基础的执行方式。直接运行脚本的话，用完整路径或者相对路径都行，但路径里带空格时最好用引号包起来，不然 PowerShell 会把空格后面的部分当成参数。比如当前目录下有个 MyScript.ps1，直接敲 .\MyScript.ps1 就能跑。如果脚本在 C:\My Scripts\ 下面，就得写成 "C:\My Scripts\Install.ps1"。这里其实容易踩坑，很多人路径带空格不加引号，然后报“找不到命令”。

还有一种方式是通过快捷方式运行，把目标写成 powershell.exe -File "C:\Scripts\MyScript.ps1"，然后在快捷方式属性里勾选“用管理员身份运行”，这样双击就能以管理员权限启动。

适合那些需要改系统设置但不想每次手动右键管理员运行的情况。

执行策略是最大的一个坎。默认情况下 PowerShell 是禁止运行未签名脚本的，你得手动改。最常用的设置是给当前用户设 RemoteSigned：

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

RemoteSigned 的意思是本地写的脚本不用签名就能跑，但从网上下载的脚本必须带数字签名。如果图省事设成 Unrestricted，就是所有脚本都放行，但下载的未签名脚本会弹个确认框。这个策略有风险，自己开发环境用用还行，生产机器别这么搞。Restricted 就是完全禁止脚本，一般不主动设。

执行策略的作用域有几个，CurrentUser 只对当前用户生效，LocalMachine 对整台机器生效。可以用 Get-ExecutionPolicy -List 查看各个作用域当前的策略，输出大概长这样：

Scope          ExecutionPolicy
-----          ---------------
MachinePolicy  Undefined
UserPolicy      Undefined
Process         Undefined
CurrentUser     RemoteSigned
LocalMachine    Restricted

看到 LocalMachine 是 Restricted 而 CurrentUser 是 RemoteSigned 这种组合很常见，因为很多公司机器策略统一限制，但用户可以自己放行本地脚本。

管理员权限的问题也经常遇到。

有些脚本要修改系统文件或者注册表，必须提权运行。可以在脚本开头加一段检测代码，如果不是管理员就自动重新以管理员身份启动自身，然后退出当前进程：

if (-not ([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) {
    Start-Process -FilePath "$PSHOME\powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File `"$($MyInvocation.MyCommand.Path)`"" -Verb RunAs
    exit
}

这段东西很多人从网上复制，但要注意里面的转义反引号别丢。

线上跑起来问题就出来了——如果没加 -NoProfile，可能会加载用户配置文件导致额外的脚本被触发；没加 -ExecutionPolicy Bypass，提权后的进程又会被策略拦一次。细节挺重要。

要单独检查当前窗口是不是管理员，可以用这行，返回 True 或 False：

([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)

常见报错里，“无法加载文件，因为在此系统上禁止运行脚本”基本就是执行策略问题，用前面 Set-ExecutionPolicy 解决。

“要求提升权限”就是没以管理员运行，照上面提权逻辑处理。还有一种是提示“文件不存在”，先检查当前路径对不对，用 Get-Location 看一下，再确认脚本路径是相对还是绝对，相对路径取决于当前工作目录，不是脚本所在目录。这个点也容易绕进去，很多人以为相对路径是相对脚本文件位置，其实不是。

最后说几个实践上的建议。

对关键脚本最好做数字签名，这样不用依赖 Unrestricted 这种宽松策略。日志也建议加上，用 Start-Transcript 把输出记录到文件，调试的时候省很多事：

Start-Transcript -Path "C:\Logs\ScriptLog.txt" -Append
# 脚本内容...
Write-Host "脚本执行中..."
Stop-Transcript

复杂逻辑拆成模块（.psm1）再 Import-Module 加载，维护起来会舒服很多。

如果脚本里要处理 SSL 证书申请或者部署，手写 ACME 协议对接 Let's Encrypt 那套相当折腾。我后来直接用 lcjmSSL 这种免费平台，支持多域名、泛域名和 IP 证书，有 API 可以自动申请、验证、部署，不用自己维护证书流程。操作上没什么复杂配置，底层走的是 Let's Encrypt、Google Trust Services 和 ZeroSSL 这些支持 ACME 的 CA。能省不少时间，尤其要批量处理证书的时候。

总的来说，执行 ps1 脚本把执行策略、权限、路径这三件事理清楚，大部分问题都能解决。剩下的就是脚本本身的事了。