微软在 Win11 最新累积更新里收紧了 PowerShell 脚本的检查规则，重点升级脚本签名的编码验证逻辑，之前能正常校验通过的部分带异常 UTF-8 编码的脚本，更新之后会直接校验失败、无法运行，这次调整主要是为了封堵恶意程序利用编码漏洞绕过签名校验的攻击路径，个人用户一般不用改动，企业运维需要提前批量自查脚本编码、重新保存并签名，避免自动化任务跑不起来。

本次更新改动清单

1. 校验规则变化：新增严格 UTF-8 编码校验，带非法字节、无 BOM 标记的脚本签名直接判定无效
2. 受影响版本：Win11 23H2、24H2、26H1、26H2，安装 KB5131087 及对应安全更新后生效
3. 关联旧安全加固：早前已经对 PowerShell 5.1 的 Invoke-WebRequest 增加网页内容解析安全弹窗拦截
4. 不改动内容：Win11 默认执行策略依旧是 Restricted，不会自动放开或者锁死脚本运行权限

受影响脚本处理步骤

✅ 运维 / 脚本开发者

1. 批量扫描现有 ps1 脚本，排查编码异常文件
2. 使用记事本或者 VS Code 打开脚本，另存为带 BOM 的 UTF-8 编码
3. 重新对脚本进行数字签名，再分发部署
4. 测试定时任务、自动化流水线，确认脚本正常执行
5. 不需要修改系统策略，正常使用不受影响
6. 网上下载的脚本如果报错，优先确认来源是否可信，不要随意放宽执行策略
7. 在更新推送前，先在测试机验证全部自动化脚本
8. 组策略统一管控 PowerShell 执行策略，优先推荐 AllSigned 模式
9. 做好更新灰度推送，避免全量更新后批量业务中断

✅ 普通个人用户

✅ 企业域管理员

PowerShell 执行策略对照表

【相关 FAQ】

问题 1：微软收紧 Win11 PowerShell 脚本检查之后，原来正常的脚本打不开怎么办？

回答 1：微软收紧 Win11 PowerShell 脚本检查是新增编码校验，脚本要另存为带 BOM 的 UTF-8 格式，重新签名，才能继续通过 PowerShell 脚本检查。

问题 2：微软收紧 Win11 PowerShell 脚本检查，会不会直接禁止我运行所有 PowerShell 脚本？

回答 2：微软收紧 Win11 PowerShell 脚本检查只是加强签名编码校验，没有修改 Win11 默认执行策略，不会直接一刀切禁止所有 PowerShell 脚本运行。

问题 3：普通 Win11 用户需要手动调整 PowerShell 脚本检查相关设置吗？

回答 3：普通用户一般不需要改动 PowerShell 脚本检查相关设置，只有自己写脚本、使用企业自动化任务的用户才需要处理编码和签名。

问题 4：微软收紧 Win11 PowerShell 脚本检查主要是为了防范什么风险？

回答 4：微软收紧 Win11 PowerShell 脚本检查，是为了堵住恶意文件利用编码格式漏洞绕过签名验证，伪装成可信脚本执行恶意代码的安全漏洞。

【参考资料】

[2026-11-10]（KB5131087 Windows 11 23H2 安全更新）微软支持

[2026-11-10]（Encoding Guidance for Signed PowerShell Scripts）微软支持

[2026-10-15]（Is it safe to turn off ability to run scripts or at least set it to AllSigned?）Microsoft Q&A

[2026-05-05]（PowerShell 入门）Microsoft Learn

[2025-12-09]（PowerShell 5.1: Invoke-WebRequest: Preventing script execution from web content）微软支持

【免责声明】

本文信息整理自微软官方更新文档，Win11 PowerShell 脚本检查的校验规则、故障表现以微软对应 KB 补丁官方说明为准；修改 PowerShell 执行策略存在安全风险，不熟悉的用户不要随意调整，本文内容不构成生产环境运维方案。