PowerShell中PSCredential不可直接加密跨机复用，因其SecureString属性禁止明文导出；本地复用可借助DPAPI加密保存密码文件（绑定当前用户与机器），远程调用应显式传参或启用CredSSP委派，生产环境推荐Kerberos、GMSA、证书、OAuth或Azure Key Vault等更安全的身份机制。
powershell 中不能直接“加密保存凭据对象”再跨机器复用，因为 pscredential 本身不支持序列化持久化，且其 password 属性是 securestring，设计上就禁止明文导出。但可通过安全路径实现“一次输入、多次复用、远程可用”的目标——关键是分清场景：本地复用 vs 跨主机远程调用，二者安全机制完全不同。
本地脚本中安全复用凭据（非跨机）
适合自动化任务在**同一台机器**反复调用，比如定时连 SQL Server 或调 API：
- 用
Get-Credential获取凭据后，存为变量（如$cred = Get-Credential），在当前会话中直接传给Invoke-Command -Credential $cred、Invoke-RestMethod -Credential $cred等支持PSCredential参数的命令 - 若需重启后仍可用，可将
SecureString密码加密保存到文件（仅限本机解密）：$cred.Password | ConvertFrom-SecureString | Set-Content "C:\cred\pass.txt"
后续读取时：$pw = Get-Content "C:\cred\pass.txt" | ConvertTo-SecureString$cred = New-Object PSCredential("user@domain", $pw) - 注意：该方式依赖 Windows DPAPI，加密结果绑定当前用户+本机，换电脑或换用户即失效，反而构成天然保护
跨主机远程调用时传递凭据的正确方式
远程命令（如 Invoke-Command -ComputerName srv01）默认只把凭据用于登录远程主机，**不会自动带入远程主机发起的二次请求**（比如远程主机再去访问数据库或另一台服务器）。这是多跃点限制，不是加密问题：
- 最常用且推荐的方式：始终使用
-Credential参数显式传入，例如Invoke-Command -ComputerName srv01 -ScriptBlock { Get-Service } -Credential $cred - 若脚本块内还需访问第三方资源（如调用另一台 srv02 的共享），默认会失败；此时需启用 CredSSP 委派（仅限高度信任环境）：
在客户端执行：Enable-WSManCredSSP -Role Client -DelegateComputer "srv01"
在服务端执行：Enable-WSManCredSSP -Role Server
调用时加参数：-Authentication Credssp -Credential $cred - 切勿用
ConvertFrom-SecureString把密码存成文件再传到远程机上解密——这等于把加密密钥和密文一起发过去，完全失去保护意义
更安全的长期方案：避免密码硬编码或文件存储
生产环境应绕过密码管理本身，改用更健壮的身份机制：
- 域环境优先用 Kerberos 凭据委派或 GMSA（组托管服务账户），无需密码参与
- 调用 REST API 时，用证书认证或 OAuth Token（
-Token参数接受SecureString）替代用户名/密码 - 敏感凭据存入 Windows 凭据管理器（
Credit Manager），用Get-StoredCredential（需安装PSFramework模块）按需读取，比自建文件更规范 - 云环境建议使用托管标识（Managed Identity）或 Azure Key Vault，配合
Connect-AzAccount -Identity等原生命令
本质上，PowerShell 的凭据安全不是靠“更强加密”，而是靠作用域隔离、DPAPI 绑定、协议级委派控制和身份机制升级。把密码当临时令牌用，而非持久资产保管，才是符合设计哲学的做法。
