配置PATH环境变量应确保每条路径指向管理员安装且普通用户无写入权限的可信只读目录，避免当前目录、用户可写路径及未保护的环境变量引用，并将可信路径置于搜索顺序前列，定期清理无效项。

配置 PATH 环境变量时，若不加约束，确实可能被恶意程序利用——比如在可写目录中放置同名命令（如 java、ls），当高权限进程调用时误执行恶意二进制，造成提权或信息泄露。关键不是“能不能加路径”，而是“怎么加才安全”。

只添加可信、只读的安装目录

PATH 中每一条路径都应指向一个管理员安装、普通用户无写入权限的目录。例如：

• ✅ 推荐：C:\Program Files\Java\jdk-17.0.9\bin（系统级只读目录）
• ✅ 推荐：C:\Python311\（安装时默认设为管理员所有权）
• ❌ 避免：C:\Users\Alice\Downloads、C:\Temp、.（当前目录）或任何含空格+未引号包裹的路径

验证目录权限：右键文件夹 → “属性” → “安全”选项卡 → 确认“Users”组没有“修改”或“写入”权限。

避免使用通配符与相对路径

PATH 变量中不能出现以下内容：

• .（当前目录）——极易被劫持
• %USERPROFILE%\scripts（除非你严格控制该目录权限并定期审计）
• %JAVA_HOME%\bin —— 仅在 JAVA_HOME 本身也指向只读路径且不可被普通用户修改的前提下才安全

建议优先使用绝对路径；若必须用变量，确保该变量值本身受权限保护（例如注册表或系统变量由管理员设置，且用户无法通过环境变量界面篡改）。

调整搜索顺序，把可信路径放前面

Windows 按 PATH 中从上到下的顺序查找命令。如果攻击者在 C:\Temp 放了一个伪造的 git.exe，而你的 PATH 是 C:\Temp;C:\Program Files\Git\cmd，系统就会先执行恶意版本。

• 在“编辑环境变量”窗口中，选中某条路径后点击“上移”，将其置于列表顶部
• 系统级 PATH 建议将标准工具路径（如 System32、WindowsPowerShell）保留在最前，再追加自定义可信路径
• 用户级 PATH 不要覆盖或干扰系统级路径顺序，尤其避免把用户目录路径放在系统路径之前

定期检查和清理 PATH

PATH 越长越容易藏匿风险。建议每季度执行一次自查：

• 打开新 PowerShell，运行：(echo $env:Path).split(';') | ForEach-Object { if (Test-Path $_) { "$_ → $(Get-Acl $_ | Select-Object -ExpandProperty Owner)" } else { "$_ → NOT FOUND" } }
• 重点关注输出中“NOT FOUND”的路径（已卸载软件残留）、所有者为当前用户的非标准路径
• 删除无效项、合并重复项、移除可疑目录

生产环境或共享电脑上，还可通过组策略限制用户修改 PATH 的权限，或使用脚本自动重置为基线配置。