开门见山我相信每个刚在 Windows 上装完 Node.js 的朋友都经历过这一幕打开 PowerShell兴冲冲敲下npm -v结果屏幕上一行红色错误npm : 无法加载文件 C:\Program Files\nodejs\npm.ps1因为在此系统上禁止运行脚本。有关详细信息请参阅 https:/go.microsoft.com/fwlink/?LinkID135170 中的 about_Execution_Policies。所在位置 行:1 字符: 1。第一次碰到这个我还以为是 Node.js 没装好反反复复查了 PATH、重装了 node最后才发现事情完全不是我想的那样。npm 装得好好的问题出在 PowerShell 和 npm 之间的一层安全门禁——执行策略Execution Policy。这个报错几乎每个 Windows 前端开发都会遇到网上解法又多又杂有人让你直接开 Bypass有人让你改注册表其实底层原理就那点东西搞清楚了一分钟就能解决还能顺手避开后面几个连环坑。这篇我打算从报错原理讲起把执行策略拆开揉碎再给一套由安全到临时的完整解法最后重点说说“我明明设置了怎么还报错”的排查链路这些都是我自己踩过又爬出来的经验。1. 报错现场复盘npm 命令为什么会被 PowerShell 拦截1.1 三种最常见的报错形态先说现象。npm命令在 PowerShell 里报“禁止运行脚本”绝不是一种固定说法根据安装目录和全局包位置实际会看到几种不同路径的版本默认 C 盘安装npm : 无法加载文件 C:\Program Files\nodejs\npm.ps1因为在此系统上禁止运行脚本自定义 D 盘安装npm : 无法加载文件 D:\nodejs\npm.ps1因为在此系统上禁止运行脚本全局工具包报错该版本的 C:\Users\Administrator\AppData\Roaming\npm\node_modules\anthropic-...\xxx.ps1 因为在此系统上禁止运行脚本前两种是 npm 本体脚本被拦第三种是你后面用 npm 全局安装的 CLI 工具比如 Claude Code、Codex 这类自带的 PowerShell 包装脚本被拦。报错文件路径千差万别但后半句核心都一样因为在此系统上禁止运行脚本。如果看到这句话那就先不用怀疑 Node 本身问题一定出在“脚本能不能跑”这个环节。1.2 你在 PowerShell 里运行的其实不是 npm.exe这是最容易误解的一层。很多人以为敲npm就等于在运行npm.exeWindows 上确实有npm.exe吗严格说Node 安装目录里主要放的是npm.cmd和npm.ps1这类包装脚本真实入口是npm-cli.js由 Node 进程去加载。PowerShell 解析命令时有一套自己的查找顺序别名、函数、cmdlet、外部命令。在外部命令这一层它不会只找npm.exe还会匹配npm.ps1。由于.ps1是 PowerShell 原生脚本格式在 PowerShell 会话里敲npm时默认命中并尝试执行的往往是npm.ps1而不是npm.cmd。也就是说你以为自己在执行程序实际上 PowerShell 认为你想执行一个脚本文件。既然是个.ps1脚本启动前就必然过执行策略这一关。1.3 这个报错不等于“npm 没装好”排错第一步先确认 npm 本体是好的。打开 CMD不是 PowerShell输入npm -v如果正常输出版本号说明 PATH 配置、Node 安装都没问题。再回到 PowerShell 里试试npm.cmd -v如果这样也能正常输出那更坐实了被拦的只有npm.ps1这个 PowerShell 脚本分支跟 Node 本身毫无关系。这个认知特别重要。我在各种技术群里看人问这个问题至少有一半人走偏到“重装 node”“修 PATH”“修复 vscode”这些方向去了。只要先确认“CMD 能跑、npm.cmd 能跑”问题的边界就非常清楚了后面无论怎么折腾都不会再怀疑错对象。2. 执行策略机制拆解Restricted、RemoteSigned、AllSigned 到底拦什么2.1 拿安检门禁来理解执行策略执行策略不是给“人”设的限制而是给“脚本文件”设的安检门。默认情况下Windows 不希望任何未经确认的.ps1脚本在你的电脑上自动执行。原因很好理解PowerShell 脚本能做的事太多了删文件、改注册表、连网络、下发命令几乎等于把整台机器交给脚本。如果没有门槛你从网上下载的一个恶意.ps1双击就执行后果不堪设想。所以微软的策略是宁可错杀不可放过。默认先禁止一切脚本运行只有你主动放行脚本才允许执行。这个“主动放行”的机制就是执行策略。2.2 五个策略级别一目了然PowerShell 常见执行策略就这么几种我整理成对照表比任何长篇解释都直观执行策略本地脚本从网络下载的脚本说明Restricted禁止禁止Windows 客户端默认策略一律不放行AllSigned须有可信签名须有可信签名不管哪来的没签名一律不跑RemoteSigned允许须有可信签名开发机最常用的策略本地文件放行网络文件仍拦Unrestricted允许允许运行时警告基本等于不管了还会弹提示Bypass允许允许完全不检查连警告都没有还有一个 Undefined意思是“这个作用域没设置”实际生效时会向上找别的作用域。后面排查“设置了没生效”时这个 Undefined 会经常出现。2.3 四个作用域改在哪一层决定了影响谁执行策略不是全局一个值而是分层的。从高到低依次是MachinePolicy——机器级组策略最高优先级UserPolicy——用户级组策略Process——当前进程只对当前这个 PowerShell 窗口有效CurrentUser——当前用户LocalMachine——本机所有用户实际生效的策略就是按这个顺序从上往下取遇到的第一个“不是 Undefined”的值。举例来说如果 MachinePolicy 设了 RemoteSigned那么 CurrentUser 和 LocalMachine 再怎么设置都不影响——因为组策略已经锁死了。Windows 客户端默认情况下LocalMachine 通常是 Restricted其他作用域是 Undefined。这直接导致任何未签名的.ps1脚本在 PowerShell 里都被拒之门外npm.ps1自然没法幸免。2.4 为什么 RemoteSigned 能放行 npm 又保留安全底线很多人不理解为什么我不直接推荐 Unrestricted 或者 Bypass偏偏推荐 RemoteSigned因为 RemoteSigned 做了一个很聪明的区分判断脚本是“本地创建”还是“从网上下载”。npm.ps1是 Node.js 安装包释放到磁盘的文件在 Windows 看来属于本地文件没有“网络来源”标记所以 RemoteSigned 下可以直接运行。而你在浏览器里下载的附件脚本一般会带有“来自互联网”的 Zone Identifier 标记RemoteSigned 依然会拦下来要求签名才能执行。等于说开发工具正常转钓鱼脚本照样挡。这个安全余量在日常工作中很有价值。而 Unrestricted 和 Bypass 等于把门彻底拆了所有脚本不分来源都能跑。对普通开发机来说为了跑一个 npm 把门拆了是真的不划算。3. 最快跑通 npm 的四种方法按安全等级排序3.1 方法 AProcess 作用域 Bypass一次窗口一次有效如果你想快速验证 npm 是否安装成功或者只是临时跑一个脚本不想动任何持久配置用这个方案最合适Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass npm -v第一条命令的意思很直白只对当前这个 PowerShell 进程临时打开“不检查”模式关掉窗口就失效。下一次新开一个终端执行策略会回到原来的状态如果你再敲npm照样报“禁止运行脚本”。这个方法的好处是零副作用不改注册表、不影响其他用户、不涉及管理员权限。坏处是每次开新窗口都要重新执行一遍日常开发肯定不能靠这个过日子。它最适合的场景是刚装完 node想知道到底装没装好不想因为改策略引发后续一堆连锁问题。3.2 方法 BCurrentUser 改 RemoteSigned长期推荐方案这是我在个人开发机上的标准配置也是给大多数人的最终答案Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned执行这条命令后PowerShell 会弹出一个确认提示输入Y回车即可。不需要管理员权限因为 CurrentUser 作用域只管你当前这个 Windows 账号不影响管理员和其他用户。设置完建议新开一个 PowerShell 窗口再敲npm -v这时就应该正常输出版本号了。为什么这个方案好三个理由持久生效不用每次开窗口都重新设置长远看RemoteSigned 仍然对网络下载的未签名脚本设防改的是 CurrentUser相对克制。万一哪天想恢复运行Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy Undefined就能把这项设置撤销回归系统默认需要提醒一下如果你用的是 PowerShell 7也就是pwsh.exe它的策略设置和 Windows PowerShell 5.1 互相独立需要在对应版本里各自设置一次。这个细节后面还会细说。3.3 方法 C绕开 PowerShell用 CMD 运行 npm这个方法不算根治但非常适合不想改任何策略的场景。打开 CMD输入npm -v你会惊讶地发现一切正常。原因前面说过CMD 环境里命令查找走的是npm.cmd这个批处理分支批处理文件不受 PowerShell 执行策略限制。优点是一点系统配置都不用改适合临时借用别人电脑、公司锁定了组策略、又急着跑命令的情况。缺点是现代前端开发基本都泡在 VSCode 或 Windows Terminal 的 PowerShell 环境里总不能永远切到 CMD 去执行 npm。另外在 CMD 里运行时如果你希望拿到的是 PowerShell 风格的输出对象、或者想在多个命令之间用管道传对象体验会差很多。3.4 方法 D显式调用 npm.cmd一条命令绕过策略在 PowerShell 里直接执行npm.cmd -v这个写法和 CMD 里运行的原理一样强制让 PowerShell 去执行批处理版本绕开.ps1脚本分支。作为排错手段我非常推荐如果npm.cmd -v能正常输出就进一步锁定问题范围——只是 PowerShell 脚本被拦npm 本身没坏。作为长期用法不推荐。你总不希望每次敲命令都要多打一个.cmd后缀而且某些 npm 子命令或全局工具的输出行为在不同宿主下会有细微差异长期用 CM D方式会掩盖掉真正需要修正的策略问题。3.5 四种方法选哪个一张表说清楚使用场景推荐方式理由临时验证 npm 是否装好方法 A 或 C零持久影响最快看到结果日常开发本机长期使用方法 BRemoteSigned 稳定且保留安全拦截公司策略锁死、不能改配置方法 C 或 D绕开执行策略检查服务器、CI 脚本环境方法 A 管道任务内设置不影响服务器全局配置这一小节必须强调一个红线不要为了省事把执行策略设为 Unrestricted 或在 LocalMachine 上开 Bypass。我见过不止一次开发机为了让脚本全跑起来策略改成 Bypass没过多久运行了一个来源不明的ps1机器直接中了招。RemoteSigned 对开发工作来说完全够用还能拉回一层安全网实在没必要赌这个风险。4. 设置了还是无效完整排查链路与几个反直觉的坑4.1 现象明明 Set-ExecutionPolicy 了npm 还是报错如果你按上面的方法执行了Set-ExecutionPolicy新开窗口后npm -v还在报“禁止运行脚本”那就要顺着下面四条链路查。这些坑我全部亲自踩过每一条都有非常强的迷惑性。4.2 先看合并策略Get-ExecutionPolicy -List排查第一步永远是先看当前生效策略到底是什么。执行Get-ExecutionPolicy -List输出类似Scope ExecutionPolicy ----- --------------- MachinePolicy Undefined UserPolicy Undefined Process Undefined CurrentUser RemoteSigned LocalMachine Restricted前面说了实际生效策略是自上而下取第一个非 Undefined 的值。上面这个输出里MachinePolicy 和 UserPolicy 都是 UndefinedProcess 也是 UndefinedCurrentUser 是 RemoteSigned那么生效就是 RemoteSignednpm 应该能跑。如果 CurrentUser 是 UndefinedLocalMachine 是 Restricted那你之前设置可能没有写进 CurrentUser或者你在另一个 PowerShell 窗口里执行后没生效。这种情况直接重新执行一次设置命令再看输出确认。4.3 坑 1组策略把执行策略锁死了我自己遇到的一个经典场景给一台办公电脑装开发环境敲下Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned命令没有任何报错Get-ExecutionPolicy也显示 RemoteSigned但 npm 就是继续报错。后来一查Get-ExecutionPolicy -List发现第一行 MachinePolicy 显示的是 RemoteSigned——不是 Undefined。这就说明系统组策略层已经把策略定义过了虽然值和你想设的一样但它的存在导致 CurrentUser 设置的 RemoteSigned 根本排不上用场。如果组策略设的是 Restricted那你前面所有努力都会被压在最下面毫无效果。这时候有几个方向检查本机组策略编辑器gpedit.msc- 计算机配置 - 管理模板 - Windows 组件 - Windows PowerShell - 打开脚本执行。看是不是被设置为“已启用”并且策略级别为 Restricted/AllSigned。如果是个人电脑且你没动过可能是装某些安全软件或优化软件时被改了。把它改成“未配置”再刷新组策略gpupdate /force。如果这台机器是公司域环境下发策略那大概率你自己改不了也别去硬怼组策略。直接用 CMD 跑 npm或者npm.cmd -v临时顶上然后找管理员申请策略放行。4.4 坑 2Windows PowerShell 5.1 和 PowerShell 7 的策略互相独立这是非常隐蔽的一个坑。很多人电脑上同时装着 Windows PowerShell 5.1系统自带和 PowerShell 7新装的终端默认走这个。你在 5.1 里设置了 RemoteSigned打开 PowerShell 7 的窗口发现 npm 照样报错。原因很简单两个 PowerShell 版本各自的执行策略存储在独立的注册表位置互相不认对方的设置。所以在哪个版本的 PowerShell 里用 npm就要在哪个版本里设置策略# Windows PowerShell 5.1 Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned # PowerShell 7pwsh.exe pwsh -Command Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned如果你常用的终端比如 Windows Terminal、VSCode 集成终端配置的是 PowerShell 7而报错窗口又开在 5.1 里这种“折叠式”错乱很常见。排查时先在报错的那个窗口里执行$PSVersionTable.PSVersion看版本号再针对这个版本设置。4.5 坑 332 位和 64 位处理器的策略视图不一样这个坑比上一个更冷门。Windows 里可以同时存在 64 位 PowerShell 和 32 位 PowerShell开始菜单里能看到“Windows PowerShell (x86)”。它们虽然都叫 PowerShell但注册表视图不同执行策略设置不互通。如果你在 64 位窗口里设了 RemoteSigned又被某个旧版本工具拉起一个 32 位 PowerShell那个窗口里策略还是默认的 Restricted报错就会重现。排查方法在报错窗口里跑Get-ExecutionPolicy如果显示 Restricted再检查一下进程架构是 x64 还是 x86。任务管理器里看进程或者执行[Environment]::Is64BitProcess输出 True 是 64 位False 是 32 位。然后对对应的架构重新设置策略就行。这个坑在普通开发场景中不多见但一旦撞上极具迷惑性因为它看起来完全是“设置没生效”实际上是另一个独立环境没设置。4.6 坑 4执行策略没问题但脚本文件路径是残的还有一种情况执行策略已经是 RemoteSigned报错路径看起来也很正常但 npm 就是起不来。这时候要检查 npm.ps1 是不是真的存在以及 PATH 里指向的 Node 目录是不是当初装的那个目录。很多人重装过 Node.js或者用 nvm-windows 切换过版本目录结构发生过漂移。注册表或者用户环境变量里残留着旧路径PowerShell 按 PATH 顺序找到了一个不存在或者损坏的 npm.ps1报错自然依旧。执行下面命令确认Get-Command npm -All | Format-List Source看输出路径是否存在。再直接去文件管理器那个目录里找npm.ps1。如果文件确实存在且执行策略也是 RemoteSigned那就再试试Unblock-File C:\Program Files\nodejs\npm.ps1某些场景下文件被 Windows 打上了“来自网络”的标记RemoteSigned 会认为它是网络脚本要求签名。Unblock-File可以把这层标记去掉让本地脚本顺利运行。4.7 排错清单遇到“设置了还无效”按这个顺序走最后我给一个可以直接抄的检查链按顺序走完基本能定位 90% 的问题跑Get-ExecutionPolicy -List看 MachinePolicy 和 UserPolicy 是不是 Undefined如果不是按坑 1 处理跑Get-ExecutionPolicy确认当前窗口生效值。如果还是 Restricted检查你是不是设错了作用域或设完没关旧窗口跑$PSVersionTable.PSVersion确认当前是 Windows PowerShell 5.1 还是 PowerShell 7分别设置跑[Environment]::Is64BitProcess确认当前是不是 x86 环境分别设置跑Get-Command npm -All确认找到的 npm.ps1 路径真实存在用Unblock-File去掉脚本的互联网标记再试npm -v如果还报错用npm.cmd -v验证 npm 本体如果 npm.cmd 能跑剩下就是纯 PowerShell 环境配置问题逐个排查上面几项5. 这个坑还会蔓延npm 之外的同类工具和长期建议5.1 不只 npm所有全局 CLI 工具的 ps1 包装都会踩同一个坑这个问题解决完你以为就结束了实际上只要你继续用 npm 全局安装工具后面的坑还会陆续冒出来。典型的有npx命令和 npm 一样在 Windows 上有自己的npx.ps1执行策略不放开npx 同样报错各类全局安装的 CLI 工具比如codex、anthropic-ai/claude-code、dsh等它们安装到AppData\Roaming\npm目录后都会生成对应的.ps1包装脚本。在 PowerShell 里直接运行工具名会被执行策略拦截一些前端项目用 npm script 调用的辅助脚本只要最终落到.ps1上都会出现同一句“禁止运行脚本”所以我的建议是不要只针对 npm 解决把 CurrentUser 设为 RemoteSigned 是更根本的办法。设完之后npm、npx、以及其他全局工具的 ps1 包装脚本统统一次性畅通。这个动作本质上是在告诉 PowerShell“我这个用户下开发的本地脚本可以跑但从网上下载的没有签名的脚本依然不行。”5.2 看见 ps1 文件不要慌三招判断能不能安全运行在 Windows 上工作难免遇到别人发来的.ps1脚本或者项目仓库里的初始化脚本。在决定“让不让它跑”之前可以用几个命令快速评估# 查看签名信息 Get-AuthenticodeSignature .\某个脚本.ps1 | Format-List # 解除文件来源锁定 Unblock-File .\某个脚本.ps1Get-AuthenticodeSignature会告诉你文件是否有数字签名、签名是否有效。如果显示NotSigned又来自网络那在 RemoteSigned 策略下它本来就跑不了这并不是坏事而是保护机制在起作用。如果这个文件是你可信赖的项目脚本只是下载时被打了标记Unblock-File一下就行。判断脚本能不能运行可以用一句话概括本地创建、路径可信、来源明确跑网上下载、无签名、来源不明别跑。理解这个逻辑你就不会陷入“策略一放开什么都敢跑”的裸奔状态。5.3 不同环境的安全基线建议考虑到不同读者的使用环境差异很大我按场景给出几套我觉得合理的配置思路大家可以根据自己情况参考环境推荐设置理由个人开发机CurrentUserRemoteSignedLocalMachine保持默认开发工具全部正常网络脚本仍拦截家用电脑、非开发用途保持默认 Restricted不装开发工具就不需要开任何口子测试服务器、CI 自动化仅对当前进程 Bypass或直接用 cmd 方式持久化开关越少越安全公司统一管理的机器按组策略执行不私改 LocalMachine避免和域策略冲突引发后续管理问题我个人在服务器上跑自动化脚本时最常用的写法是Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force这个组合只在当前命令行会话里生效脚本执行完退出会话策略自动消失。基本不会给服务器留下什么后门。5.4 一点真实体会说句实在话很多 Windows 开发者的第一个“安全错误”都是从npm这个报错开始的。它看起来吓人其实也是 PowerShell 第一次主动教你“脚本这个东西是有安全边界的”。我见过一个同事为了图方便把公司电脑的 PowerShell 全局策略改成 Bypass结果后来下载了一个伪造的 “系统清理脚本”双击之后系统直接中了挖矿木马最后重装系统才解决。虽然不是所有 Bypass 都会出事但没必要为了一个 npm 去承担这样的风险。设置执行策略这件事本质上是在回答一个问题你愿意在多大程度上信任你机器上的脚本。用 RemoteSigned 守住“本地可信、远端需验证”这条线对开发机来说是最舒服的平衡点。希望这篇能把原理、做法和坑都讲透下次再看到 “npm.ps1 因为在此系统上禁止运行脚本”你能心里有底地处理它而不是一头扎进重装 Node 的循环里。
开门见山我相信每个刚在 Windows 上装完 Node.js 的朋友都经历过这一幕打开 PowerShell兴冲冲敲下npm -v结果屏幕上一行红色错误npm : 无法加载文件 C:\Program Files\nodejs\npm.ps1因为在此系统上禁止运行脚本。有关详细信息请参阅 https:/go.microsoft.com/fwlink/?LinkID135170 中的 about_Execution_Policies。所在位置 行:1 字符: 1。第一次碰到这个我还以为是 Node.js 没装好反反复复查了 PATH、重装了 node最后才发现事情完全不是我想的那样。npm 装得好好的问题出在 PowerShell 和 npm 之间的一层安全门禁——执行策略Execution Policy。这个报错几乎每个 Windows 前端开发都会遇到网上解法又多又杂有人让你直接开 Bypass有人让你改注册表其实底层原理就那点东西搞清楚了一分钟就能解决还能顺手避开后面几个连环坑。这篇我打算从报错原理讲起把执行策略拆开揉碎再给一套由安全到临时的完整解法最后重点说说“我明明设置了怎么还报错”的排查链路这些都是我自己踩过又爬出来的经验。1. 报错现场复盘npm 命令为什么会被 PowerShell 拦截1.1 三种最常见的报错形态先说现象。npm命令在 PowerShell 里报“禁止运行脚本”绝不是一种固定说法根据安装目录和全局包位置实际会看到几种不同路径的版本默认 C 盘安装npm : 无法加载文件 C:\Program Files\nodejs\npm.ps1因为在此系统上禁止运行脚本自定义 D 盘安装npm : 无法加载文件 D:\nodejs\npm.ps1因为在此系统上禁止运行脚本全局工具包报错该版本的 C:\Users\Administrator\AppData\Roaming\npm\node_modules\anthropic-...\xxx.ps1 因为在此系统上禁止运行脚本前两种是 npm 本体脚本被拦第三种是你后面用 npm 全局安装的 CLI 工具比如 Claude Code、Codex 这类自带的 PowerShell 包装脚本被拦。报错文件路径千差万别但后半句核心都一样因为在此系统上禁止运行脚本。如果看到这句话那就先不用怀疑 Node 本身问题一定出在“脚本能不能跑”这个环节。1.2 你在 PowerShell 里运行的其实不是 npm.exe这是最容易误解的一层。很多人以为敲npm就等于在运行npm.exeWindows 上确实有npm.exe吗严格说Node 安装目录里主要放的是npm.cmd和npm.ps1这类包装脚本真实入口是npm-cli.js由 Node 进程去加载。PowerShell 解析命令时有一套自己的查找顺序别名、函数、cmdlet、外部命令。在外部命令这一层它不会只找npm.exe还会匹配npm.ps1。由于.ps1是 PowerShell 原生脚本格式在 PowerShell 会话里敲npm时默认命中并尝试执行的往往是npm.ps1而不是npm.cmd。也就是说你以为自己在执行程序实际上 PowerShell 认为你想执行一个脚本文件。既然是个.ps1脚本启动前就必然过执行策略这一关。1.3 这个报错不等于“npm 没装好”排错第一步先确认 npm 本体是好的。打开 CMD不是 PowerShell输入npm -v如果正常输出版本号说明 PATH 配置、Node 安装都没问题。再回到 PowerShell 里试试npm.cmd -v如果这样也能正常输出那更坐实了被拦的只有npm.ps1这个 PowerShell 脚本分支跟 Node 本身毫无关系。这个认知特别重要。我在各种技术群里看人问这个问题至少有一半人走偏到“重装 node”“修 PATH”“修复 vscode”这些方向去了。只要先确认“CMD 能跑、npm.cmd 能跑”问题的边界就非常清楚了后面无论怎么折腾都不会再怀疑错对象。2. 执行策略机制拆解Restricted、RemoteSigned、AllSigned 到底拦什么2.1 拿安检门禁来理解执行策略执行策略不是给“人”设的限制而是给“脚本文件”设的安检门。默认情况下Windows 不希望任何未经确认的.ps1脚本在你的电脑上自动执行。原因很好理解PowerShell 脚本能做的事太多了删文件、改注册表、连网络、下发命令几乎等于把整台机器交给脚本。如果没有门槛你从网上下载的一个恶意.ps1双击就执行后果不堪设想。所以微软的策略是宁可错杀不可放过。默认先禁止一切脚本运行只有你主动放行脚本才允许执行。这个“主动放行”的机制就是执行策略。2.2 五个策略级别一目了然PowerShell 常见执行策略就这么几种我整理成对照表比任何长篇解释都直观执行策略本地脚本从网络下载的脚本说明Restricted禁止禁止Windows 客户端默认策略一律不放行AllSigned须有可信签名须有可信签名不管哪来的没签名一律不跑RemoteSigned允许须有可信签名开发机最常用的策略本地文件放行网络文件仍拦Unrestricted允许允许运行时警告基本等于不管了还会弹提示Bypass允许允许完全不检查连警告都没有还有一个 Undefined意思是“这个作用域没设置”实际生效时会向上找别的作用域。后面排查“设置了没生效”时这个 Undefined 会经常出现。2.3 四个作用域改在哪一层决定了影响谁执行策略不是全局一个值而是分层的。从高到低依次是MachinePolicy——机器级组策略最高优先级UserPolicy——用户级组策略Process——当前进程只对当前这个 PowerShell 窗口有效CurrentUser——当前用户LocalMachine——本机所有用户实际生效的策略就是按这个顺序从上往下取遇到的第一个“不是 Undefined”的值。举例来说如果 MachinePolicy 设了 RemoteSigned那么 CurrentUser 和 LocalMachine 再怎么设置都不影响——因为组策略已经锁死了。Windows 客户端默认情况下LocalMachine 通常是 Restricted其他作用域是 Undefined。这直接导致任何未签名的.ps1脚本在 PowerShell 里都被拒之门外npm.ps1自然没法幸免。2.4 为什么 RemoteSigned 能放行 npm 又保留安全底线很多人不理解为什么我不直接推荐 Unrestricted 或者 Bypass偏偏推荐 RemoteSigned因为 RemoteSigned 做了一个很聪明的区分判断脚本是“本地创建”还是“从网上下载”。npm.ps1是 Node.js 安装包释放到磁盘的文件在 Windows 看来属于本地文件没有“网络来源”标记所以 RemoteSigned 下可以直接运行。而你在浏览器里下载的附件脚本一般会带有“来自互联网”的 Zone Identifier 标记RemoteSigned 依然会拦下来要求签名才能执行。等于说开发工具正常转钓鱼脚本照样挡。这个安全余量在日常工作中很有价值。而 Unrestricted 和 Bypass 等于把门彻底拆了所有脚本不分来源都能跑。对普通开发机来说为了跑一个 npm 把门拆了是真的不划算。3. 最快跑通 npm 的四种方法按安全等级排序3.1 方法 AProcess 作用域 Bypass一次窗口一次有效如果你想快速验证 npm 是否安装成功或者只是临时跑一个脚本不想动任何持久配置用这个方案最合适Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass npm -v第一条命令的意思很直白只对当前这个 PowerShell 进程临时打开“不检查”模式关掉窗口就失效。下一次新开一个终端执行策略会回到原来的状态如果你再敲npm照样报“禁止运行脚本”。这个方法的好处是零副作用不改注册表、不影响其他用户、不涉及管理员权限。坏处是每次开新窗口都要重新执行一遍日常开发肯定不能靠这个过日子。它最适合的场景是刚装完 node想知道到底装没装好不想因为改策略引发后续一堆连锁问题。3.2 方法 BCurrentUser 改 RemoteSigned长期推荐方案这是我在个人开发机上的标准配置也是给大多数人的最终答案Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned执行这条命令后PowerShell 会弹出一个确认提示输入Y回车即可。不需要管理员权限因为 CurrentUser 作用域只管你当前这个 Windows 账号不影响管理员和其他用户。设置完建议新开一个 PowerShell 窗口再敲npm -v这时就应该正常输出版本号了。为什么这个方案好三个理由持久生效不用每次开窗口都重新设置长远看RemoteSigned 仍然对网络下载的未签名脚本设防改的是 CurrentUser相对克制。万一哪天想恢复运行Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy Undefined就能把这项设置撤销回归系统默认需要提醒一下如果你用的是 PowerShell 7也就是pwsh.exe它的策略设置和 Windows PowerShell 5.1 互相独立需要在对应版本里各自设置一次。这个细节后面还会细说。3.3 方法 C绕开 PowerShell用 CMD 运行 npm这个方法不算根治但非常适合不想改任何策略的场景。打开 CMD输入npm -v你会惊讶地发现一切正常。原因前面说过CMD 环境里命令查找走的是npm.cmd这个批处理分支批处理文件不受 PowerShell 执行策略限制。优点是一点系统配置都不用改适合临时借用别人电脑、公司锁定了组策略、又急着跑命令的情况。缺点是现代前端开发基本都泡在 VSCode 或 Windows Terminal 的 PowerShell 环境里总不能永远切到 CMD 去执行 npm。另外在 CMD 里运行时如果你希望拿到的是 PowerShell 风格的输出对象、或者想在多个命令之间用管道传对象体验会差很多。3.4 方法 D显式调用 npm.cmd一条命令绕过策略在 PowerShell 里直接执行npm.cmd -v这个写法和 CMD 里运行的原理一样强制让 PowerShell 去执行批处理版本绕开.ps1脚本分支。作为排错手段我非常推荐如果npm.cmd -v能正常输出就进一步锁定问题范围——只是 PowerShell 脚本被拦npm 本身没坏。作为长期用法不推荐。你总不希望每次敲命令都要多打一个.cmd后缀而且某些 npm 子命令或全局工具的输出行为在不同宿主下会有细微差异长期用 CM D方式会掩盖掉真正需要修正的策略问题。3.5 四种方法选哪个一张表说清楚使用场景推荐方式理由临时验证 npm 是否装好方法 A 或 C零持久影响最快看到结果日常开发本机长期使用方法 BRemoteSigned 稳定且保留安全拦截公司策略锁死、不能改配置方法 C 或 D绕开执行策略检查服务器、CI 脚本环境方法 A 管道任务内设置不影响服务器全局配置这一小节必须强调一个红线不要为了省事把执行策略设为 Unrestricted 或在 LocalMachine 上开 Bypass。我见过不止一次开发机为了让脚本全跑起来策略改成 Bypass没过多久运行了一个来源不明的ps1机器直接中了招。RemoteSigned 对开发工作来说完全够用还能拉回一层安全网实在没必要赌这个风险。4. 设置了还是无效完整排查链路与几个反直觉的坑4.1 现象明明 Set-ExecutionPolicy 了npm 还是报错如果你按上面的方法执行了Set-ExecutionPolicy新开窗口后npm -v还在报“禁止运行脚本”那就要顺着下面四条链路查。这些坑我全部亲自踩过每一条都有非常强的迷惑性。4.2 先看合并策略Get-ExecutionPolicy -List排查第一步永远是先看当前生效策略到底是什么。执行Get-ExecutionPolicy -List输出类似Scope ExecutionPolicy ----- --------------- MachinePolicy Undefined UserPolicy Undefined Process Undefined CurrentUser RemoteSigned LocalMachine Restricted前面说了实际生效策略是自上而下取第一个非 Undefined 的值。上面这个输出里MachinePolicy 和 UserPolicy 都是 UndefinedProcess 也是 UndefinedCurrentUser 是 RemoteSigned那么生效就是 RemoteSignednpm 应该能跑。如果 CurrentUser 是 UndefinedLocalMachine 是 Restricted那你之前设置可能没有写进 CurrentUser或者你在另一个 PowerShell 窗口里执行后没生效。这种情况直接重新执行一次设置命令再看输出确认。4.3 坑 1组策略把执行策略锁死了我自己遇到的一个经典场景给一台办公电脑装开发环境敲下Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned命令没有任何报错Get-ExecutionPolicy也显示 RemoteSigned但 npm 就是继续报错。后来一查Get-ExecutionPolicy -List发现第一行 MachinePolicy 显示的是 RemoteSigned——不是 Undefined。这就说明系统组策略层已经把策略定义过了虽然值和你想设的一样但它的存在导致 CurrentUser 设置的 RemoteSigned 根本排不上用场。如果组策略设的是 Restricted那你前面所有努力都会被压在最下面毫无效果。这时候有几个方向检查本机组策略编辑器gpedit.msc- 计算机配置 - 管理模板 - Windows 组件 - Windows PowerShell - 打开脚本执行。看是不是被设置为“已启用”并且策略级别为 Restricted/AllSigned。如果是个人电脑且你没动过可能是装某些安全软件或优化软件时被改了。把它改成“未配置”再刷新组策略gpupdate /force。如果这台机器是公司域环境下发策略那大概率你自己改不了也别去硬怼组策略。直接用 CMD 跑 npm或者npm.cmd -v临时顶上然后找管理员申请策略放行。4.4 坑 2Windows PowerShell 5.1 和 PowerShell 7 的策略互相独立这是非常隐蔽的一个坑。很多人电脑上同时装着 Windows PowerShell 5.1系统自带和 PowerShell 7新装的终端默认走这个。你在 5.1 里设置了 RemoteSigned打开 PowerShell 7 的窗口发现 npm 照样报错。原因很简单两个 PowerShell 版本各自的执行策略存储在独立的注册表位置互相不认对方的设置。所以在哪个版本的 PowerShell 里用 npm就要在哪个版本里设置策略# Windows PowerShell 5.1 Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned # PowerShell 7pwsh.exe pwsh -Command Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned如果你常用的终端比如 Windows Terminal、VSCode 集成终端配置的是 PowerShell 7而报错窗口又开在 5.1 里这种“折叠式”错乱很常见。排查时先在报错的那个窗口里执行$PSVersionTable.PSVersion看版本号再针对这个版本设置。4.5 坑 332 位和 64 位处理器的策略视图不一样这个坑比上一个更冷门。Windows 里可以同时存在 64 位 PowerShell 和 32 位 PowerShell开始菜单里能看到“Windows PowerShell (x86)”。它们虽然都叫 PowerShell但注册表视图不同执行策略设置不互通。如果你在 64 位窗口里设了 RemoteSigned又被某个旧版本工具拉起一个 32 位 PowerShell那个窗口里策略还是默认的 Restricted报错就会重现。排查方法在报错窗口里跑Get-ExecutionPolicy如果显示 Restricted再检查一下进程架构是 x64 还是 x86。任务管理器里看进程或者执行[Environment]::Is64BitProcess输出 True 是 64 位False 是 32 位。然后对对应的架构重新设置策略就行。这个坑在普通开发场景中不多见但一旦撞上极具迷惑性因为它看起来完全是“设置没生效”实际上是另一个独立环境没设置。4.6 坑 4执行策略没问题但脚本文件路径是残的还有一种情况执行策略已经是 RemoteSigned报错路径看起来也很正常但 npm 就是起不来。这时候要检查 npm.ps1 是不是真的存在以及 PATH 里指向的 Node 目录是不是当初装的那个目录。很多人重装过 Node.js或者用 nvm-windows 切换过版本目录结构发生过漂移。注册表或者用户环境变量里残留着旧路径PowerShell 按 PATH 顺序找到了一个不存在或者损坏的 npm.ps1报错自然依旧。执行下面命令确认Get-Command npm -All | Format-List Source看输出路径是否存在。再直接去文件管理器那个目录里找npm.ps1。如果文件确实存在且执行策略也是 RemoteSigned那就再试试Unblock-File C:\Program Files\nodejs\npm.ps1某些场景下文件被 Windows 打上了“来自网络”的标记RemoteSigned 会认为它是网络脚本要求签名。Unblock-File可以把这层标记去掉让本地脚本顺利运行。4.7 排错清单遇到“设置了还无效”按这个顺序走最后我给一个可以直接抄的检查链按顺序走完基本能定位 90% 的问题跑Get-ExecutionPolicy -List看 MachinePolicy 和 UserPolicy 是不是 Undefined如果不是按坑 1 处理跑Get-ExecutionPolicy确认当前窗口生效值。如果还是 Restricted检查你是不是设错了作用域或设完没关旧窗口跑$PSVersionTable.PSVersion确认当前是 Windows PowerShell 5.1 还是 PowerShell 7分别设置跑[Environment]::Is64BitProcess确认当前是不是 x86 环境分别设置跑Get-Command npm -All确认找到的 npm.ps1 路径真实存在用Unblock-File去掉脚本的互联网标记再试npm -v如果还报错用npm.cmd -v验证 npm 本体如果 npm.cmd 能跑剩下就是纯 PowerShell 环境配置问题逐个排查上面几项5. 这个坑还会蔓延npm 之外的同类工具和长期建议5.1 不只 npm所有全局 CLI 工具的 ps1 包装都会踩同一个坑这个问题解决完你以为就结束了实际上只要你继续用 npm 全局安装工具后面的坑还会陆续冒出来。典型的有npx命令和 npm 一样在 Windows 上有自己的npx.ps1执行策略不放开npx 同样报错各类全局安装的 CLI 工具比如codex、anthropic-ai/claude-code、dsh等它们安装到AppData\Roaming\npm目录后都会生成对应的.ps1包装脚本。在 PowerShell 里直接运行工具名会被执行策略拦截一些前端项目用 npm script 调用的辅助脚本只要最终落到.ps1上都会出现同一句“禁止运行脚本”所以我的建议是不要只针对 npm 解决把 CurrentUser 设为 RemoteSigned 是更根本的办法。设完之后npm、npx、以及其他全局工具的 ps1 包装脚本统统一次性畅通。这个动作本质上是在告诉 PowerShell“我这个用户下开发的本地脚本可以跑但从网上下载的没有签名的脚本依然不行。”5.2 看见 ps1 文件不要慌三招判断能不能安全运行在 Windows 上工作难免遇到别人发来的.ps1脚本或者项目仓库里的初始化脚本。在决定“让不让它跑”之前可以用几个命令快速评估# 查看签名信息 Get-AuthenticodeSignature .\某个脚本.ps1 | Format-List # 解除文件来源锁定 Unblock-File .\某个脚本.ps1Get-AuthenticodeSignature会告诉你文件是否有数字签名、签名是否有效。如果显示NotSigned又来自网络那在 RemoteSigned 策略下它本来就跑不了这并不是坏事而是保护机制在起作用。如果这个文件是你可信赖的项目脚本只是下载时被打了标记Unblock-File一下就行。判断脚本能不能运行可以用一句话概括本地创建、路径可信、来源明确跑网上下载、无签名、来源不明别跑。理解这个逻辑你就不会陷入“策略一放开什么都敢跑”的裸奔状态。5.3 不同环境的安全基线建议考虑到不同读者的使用环境差异很大我按场景给出几套我觉得合理的配置思路大家可以根据自己情况参考环境推荐设置理由个人开发机CurrentUserRemoteSignedLocalMachine保持默认开发工具全部正常网络脚本仍拦截家用电脑、非开发用途保持默认 Restricted不装开发工具就不需要开任何口子测试服务器、CI 自动化仅对当前进程 Bypass或直接用 cmd 方式持久化开关越少越安全公司统一管理的机器按组策略执行不私改 LocalMachine避免和域策略冲突引发后续管理问题我个人在服务器上跑自动化脚本时最常用的写法是Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force这个组合只在当前命令行会话里生效脚本执行完退出会话策略自动消失。基本不会给服务器留下什么后门。5.4 一点真实体会说句实在话很多 Windows 开发者的第一个“安全错误”都是从npm这个报错开始的。它看起来吓人其实也是 PowerShell 第一次主动教你“脚本这个东西是有安全边界的”。我见过一个同事为了图方便把公司电脑的 PowerShell 全局策略改成 Bypass结果后来下载了一个伪造的 “系统清理脚本”双击之后系统直接中了挖矿木马最后重装系统才解决。虽然不是所有 Bypass 都会出事但没必要为了一个 npm 去承担这样的风险。设置执行策略这件事本质上是在回答一个问题你愿意在多大程度上信任你机器上的脚本。用 RemoteSigned 守住“本地可信、远端需验证”这条线对开发机来说是最舒服的平衡点。希望这篇能把原理、做法和坑都讲透下次再看到 “npm.ps1 因为在此系统上禁止运行脚本”你能心里有底地处理它而不是一头扎进重装 Node 的循环里。
