企业官网建设流程全解析

把 SFTP 上几百个文件挨个列出来、记上大小和时间，再按周对比有没有新增或篡改，这种事情手工做一次就得折腾半天。后来我把 WinSCP 和 PowerShell 组合起来，写了一套自动生成“可审计目录清单”的脚本，每周自动跑一遍，输出 CSV 清单、哈希校验值、差异报告三个文件，审计来查的时候直接丢过去就能说明问题。

这篇文章就把这套方案的完整思路和代码拆开讲清楚，包括为什么选 WinSCP 而不是纯 OpenSSH 命令、清单字段怎么设计才算“可审计”、增量比对怎么做不出误报，以及我实际踩过的几个坑。适合需要做 SFTP 文件交接合规、服务器文件巡检，或者单纯想把“手工截图留档”升级成自动化报表的运维和开发同学参考。

1. 为什么选 WinSCP + PowerShell，而不是其他方案

1.1 先说说这个组合解决的核心问题

SFTP 服务器在我们这边的定位是跨系统文件交换的中转站，合作方往指定目录丢文件，我们这边定时取走再导入业务库。单看文件传输本身，用啥工具都能干，但真正让人头疼的是“审计”两个字：领导要求每周出具一份目录清单，证明哪些文件在什么时间出现在哪个目录，文件有没有被动过手脚。

手工方式最原始的做法是打开 WinSCP 图形界面，选中所有文件复制粘贴到 Excel，再写几个公式处理大小、日期。第一次这么干还能接受，到第 20 次你一定会想砸键盘。更重要的是，手工清单没法回答“上周和这周的文件列表差异在哪里”这个问题，因为每次导出都是独立的快照，没有自动对比的机制。

WinSCP + PowerShell 的组合刚好补上这两个短板：WinSCP 的 .NET 程序集可以直接在 PowerShell 里建立 SFTP 会话、递归列出目录、下载文件；PowerShell 负责写逻辑，把目录清单结构化、算哈希、做对比、存历史。整套流程能挂到 Windows 计划任务里全自动跑。

1.2 对比原生 sftp 命令和 Python 方案，WinSCP 赢在哪里

有人会问，Windows 10 之后系统自带了 OpenSSH 客户端，直接用sftp命令不行吗？我的体会是：sftp命令行适合“人机交互式操作”，但不适合“脚本化取数据”。它默认进入交互模式，虽然有-b参数可以指定批处理文件，但批处理文件里的命令是固定的，想动态遍历目录结构得靠ls输出再正则解析，输出格式在不同 SFTP 服务端上还有差异，解析起来很脆。

Python 的pysftp或paramiko功能上完全能做，但对很多 Windows 运维同事来说，为了跑一个脚本去装 Python 解释器和第三方库，门槛还是偏高。PowerShell 本身是系统自带的，WinSCP 也是装机必备的运维工具，把这俩组合起来几乎零额外依赖。

实际操作上 WinSCP 提供了WinSCPnet.dll这个 .NET 程序集，PowerShell 加载后可以直接调用Session、SessionOptions、TransferOptions这些类，返回的对象是强类型的，比如RemoteFileInfo自带Name、Length、LastWriteTime、IsDirectory属性，不用去解析文本输出，代码可读性好，出错率也低。

1.3 这套方案适用的场景边界

如果你只是偶尔登录 SFTP 看一眼文件，用图形界面就够了。如果你想做的是“长期、定期、可追溯”的目录清单，那才值得花一两个小时把脚本搭起来。

我目前这套脚本跑在 Windows Server 2019 上，PowerShell 5.1，WinSCP 是 5.21 版本。如果你的环境是 PowerShell 7，加载程序集和部分语法会有细微差异，后面我会专门提到兼容性问题。目标 SFTP 服务端是 Linux 上的 OpenSSH，WinSCP 对它的兼容性最好，几乎没有坑。

2. 动手之前：环境准备与前置约定

2.1 关键环境变量：PowerShell 执行策略与 .NET 程序集加载

PowerShell 出于安全考虑，默认执行策略是 Restricted，直接跑 .ps1 脚本会被拦。我建议不要在全局放开执行策略，而是只对当前用户放开，或者用-ExecutionPolicy Bypass配合计划任务运行，这样既不影响系统其他脚本的安全性，又能让自动化任务跑起来。

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

WinSCP 程序集的加载方式很简单，找到安装目录下的WinSCPnet.dll，用Add-Type加载就行。注意路径里不要写错版本号目录，最好做一次存在性校验，加载失败时给出明确提示，避免脚本跑到一半才报错。

$winscpDll = "C:\Program Files (x86)\WinSCP\WinSCPnet.dll" if (-not (Test-Path $winscpDll)) { throw "找不到 WinSCPnet.dll，请确认 WinSCP 已安装" } Add-Type -Path $winscpDll

2.2 连接凭据怎么处理才安全

审计脚本要定时跑，免不了保存 SFTP 登录凭据。最忌讳的做法是把密码明文写在脚本里，一旦脚本被其他人看到或者传到代码仓库，等于把服务器拱手送人。

我这边用的是 Windows 凭据管理器（Credential Manager），用cmdkey命令把 SFTP 账号密码存成通用凭据，PowerShell 脚本里用CredentialManager模块或者直接调用cmdkey /list读取。更简单但也可接受的做法是把账号密码放在脚本目录外的独立配置文件里，并设置 ACL 只允许管理员账号读取，脚本运行时动态加载。

# 用 cmdkey 存储凭据 cmdkey /generic:SFTP-AUDIT /user:audit-user /pass:YourPassword # 脚本内读取（需要安装 CredentialManager 模块） # Install-Module -Name CredentialManager $cred = Get-StoredCredential -Target "SFTP-AUDIT"

这里有个细节值得注意：如果公司安全规范比较严，单独建一个只读账号专门用于审计也是常见操作。给这个账号配上 SFTP 账号专属的目录读取权限，不要用管理员账号跑，万一脚本被注入恶意逻辑，影响面也能控制在最小。

2.3 用户界面与命令行的“双身份”问题

WinSCP 的图形界面配置（比如保存的站点、记住的密码）和命令行调用是两套机制。脚本通过SessionOptions对象显式指定主机、端口、用户名、密码或私钥，不会自动读取 WinSCP 图形界面保存的会话。

这也是个容易踩坑的点：如果你在 WinSCP 图形界面里把某个站点配置好了，以为脚本能直接复用，那就错了。脚本要连接哪一个 SFTP 服务器，必须在代码里重新写明连接参数，或者从配置文件中读取。我把主机、端口、用户名、远端根目录、本地报告输出目录全部放到脚本参数里，通过计划任务传参，这样换服务器不用改代码。

2.4 目录规范约定：远端扫哪里，本地放哪里

开始写脚本前，先约定好输入输出目录的规范，后面审计查起来才会轻松。我的约定是：

• 远端根目录/data/exchange，递归遍历其下所有子目录
• 本地输出目录D:\sftp-audit\reports，按日期分目录存放
• 每次运行生成三兄弟：files.csv（全量清单）、meta.json（本次运行的元信息）、diff_yyyyMMdd.csv（与上一次对比的差异报告）

本地报告目录记得做权限控制，因为文件清单里包含了文件名、大小、时间，这些信息对公司内部来说也是敏感数据，不能随便让所有域用户都能读。

3. 目录清单核心实现：从连接服务器到输出可审计报表

3.1 建立会话：参数、超时与异常处理

WinSCP 的 .NET 程序集用起来很直白，SessionOptions负责参数配置，Session负责打开和操作。关键参数在我看来有两个：GiveUpSecurityAndAcceptAnySslHostCertificate是针对证书校验的，如果 SFTP 服务器用的是自签名证书或内网 CA，需要设置成$true，否则会握手失败；TimeoutInMilliseconds建议设置成 30000 以上，大目录递归时连接不稳定容易中断。

先定义连接函数，返回值是Session对象。注意Session.Open()失败会抛异常，要用try/catch/finally把断开操作放到finally里，保证每次运行结束都能干净地释放连接。

function Connect-SftpSession { param( [string]$HostName, [string]$UserName, [string]$Password, [int]$Port = 22 ) $sessionOptions = New-Object WinSCP.SessionOptions -Property @{ Protocol = [WinSCP.Protocol]::Sftp HostName = $HostName UserName = $UserName Password = $Password PortNumber = $Port GiveUpSecurityAndAcceptAnySslHostCertificate = $true TimeoutInMilliseconds = 60000 } $session = New-Object WinSCP.Session try { $session.Open($sessionOptions) return $session } catch { throw "SFTP 连接失败: $($_.Exception.Message)" } }

3.2 递归遍历目录：RemoteFileInfo 对象与正则排除规则

SFTP 目录清单的核心动作是遍历。WinSCP 的Session.ListDirectory($remotePath)返回RemoteDirectoryInfo对象，里面有个Files集合，集合里每一项是RemoteFileInfo。这个对象的关键属性是IsDirectory、Name、Length、LastWriteTime，前两个用来判断类型，后面三个用来生成清单。

递归函数需要注意两点：一是要跳过.和..这两个特殊目录，否则会无限递归；二是排除规则的统一管理。我习惯把需要排除的目录名（比如tmp、backup）放在数组里，遍历时判断过滤。这套规则的边界要提前想清楚，审计场景下宁可多列也不要漏列，所以默认不做排除，只在明确需要时才添加。

function Get-SftpDirectoryListing { param( [WinSCP.Session]$Session, [string]$RemotePath, [string]$ReportBasePath ) $directoryInfo = $Session.ListDirectory($RemotePath) foreach ($entry in $directoryInfo.Files) { if ($entry.Name -eq "." -or $entry.Name -eq "..") { continue } $relativePath = if ($ReportBasePath -eq "") { $entry.Name } else { "$ReportBasePath/$($entry.Name)" } if ($entry.IsDirectory) { Get-SftpDirectoryListing -Session $Session -RemotePath "$($RemotePath.TrimEnd('/'))/$($entry.Name)" -ReportBasePath $relativePath } else { [PSCustomObject]@{ RemotePath = $RemotePath RelativePath = $ReportBasePath FileName = $entry.Name FileSize = $entry.Length LastWriteTimeUtc = $entry.LastWriteTime.ToUniversalTime().ToString("yyyy-MM-dd HH:mm:ss") FileType = "File" } } } }

这段代码里我刻意把RemotePath和RelativePath分开存，RemotePath是远端完整路径，RelativePath是相对根目录的路径（不含根目录本身）。这样的字段设计在生成差异报告时非常有用，因为远端根目录可能变化，但相对路径是稳定标识。

3.3 哈希校验值：可审计性的关键支撑

清单里只有文件名、大小、时间，说服力还不够强。大小可以伪造，时间可以修改，真正能证明文件内容没被动过的是哈希值。这里我选了 SHA256，虽然计算比 MD5 慢，但碰撞概率低，审计场景认这个算法。

实现思路是先下载到本地临时文件，再用Get-FileHash计算 SHA256 后删除临时文件。为什么不用 WinSCP 的流式读取？因为 WinSCP 的Session.GetFiles本身就支持直接下载到本地路径，逻辑简单、容错性好，对临时文件的清理用finally保证即可。

大文件计算哈希会比较耗时，比如一个 2GB 的文件，在千兆内网下载加计算大概需要 20 秒到 1 分钟。所以我把哈希计算做成可开关的选项，首次全量审计打开，之后每周差异审计如果文件大小和时间都没变，可以跳过哈希只做快速扫描，这样能把运行时间压缩一大截。

function Get-FileSha256OverSftp { param( [WinSCP.Session]$Session, [string]$RemoteFilePath ) $tempFile = [System.IO.Path]::GetTempFileName() try { $transferOptions = New-Object WinSCP.TransferOptions $transferOptions.TransferMode = [WinSCP.TransferMode]::Binary $Session.GetFiles($RemoteFilePath, $tempFile, $false, $transferOptions).Check() return (Get-FileHash -Path $tempFile -Algorithm SHA256).Hash } finally { Remove-Item $tempFile -Force -ErrorAction SilentlyContinue } }

$false这个参数是transferOptions的覆盖确认开关，设为$false表示自动覆盖本地已存在的同名文件。临时文件名是随机的，一般不存在冲突，但加上这个参数能避免偶发问题导致脚本卡在确认弹窗上。

3.4 主流程编排：参数化、开关式设计

把上面的函数串起来，主流程设计成参数化脚本，这样可以灵活应对不同的审计诉求。我设计的参数包括：

这些参数既支持命令行传入，也支持写死在计划任务配置里。实际运行时，脚本先建目录、再连服务器、遍历清单、逐一计算哈希、导出 CSV 和 JSON，最后做差异对比。整体跑完会输出一段摘要日志，包括文件总数、总大小、耗时、结果文件路径。

function Invoke-SftpAudit { param( [string]$SftpHost, [int]$SftpPort = 22, [string]$SftpUser, [string]$SftpPassword, [string]$RemoteBasePath, [string]$LocalReportRoot, [switch]$WithHash = $true, [switch]$CompareWithPrevious = $true ) $runDate = Get-Date -Format "yyyyMMdd_HHmmss" $reportDir = Join-Path $LocalReportRoot $runDate New-Item -ItemType Directory -Path $reportDir -Force | Out-Null $session = Connect-SftpSession -HostName $SftpHost -Port $SftpPort -UserName $SftpUser -Password $SftpPassword try { $fileList = Get-SftpDirectoryListing -Session $session -RemotePath $RemoteBasePath -ReportBasePath "" $fileListWithHash = @() foreach ($file in $fileList) { $item = $file if ($WithHash) { $fullRemotePath = "$($file.RemotePath.TrimEnd('/'))/$($file.FileName)" $item | Add-Member -MemberType NoteProperty -Name "Sha256" -Value (Get-FileSha256OverSftp -Session $session -RemoteFilePath $fullRemotePath) } $fileListWithHash += $item } $csvPath = Join-Path $reportDir "files.csv" $fileListWithHash | Export-Csv -Path $csvPath -NoTypeInformation -Encoding UTF8 $meta = [PSCustomObject]@{ RunTimeUtc = (Get-Date).ToUniversalTime().ToString("yyyy-MM-dd HH:mm:ss") SftpHost = $SftpHost RemoteBasePath = $RemoteBasePath FileCount = $fileListWithHash.Count TotalSize = ($fileListWithHash | Measure-Object -Property FileSize -Sum).Sum HashAlgorithm = if ($WithHash) { "SHA256" } else { "None" } } $meta | ConvertTo-Json | Set-Content -Path (Join-Path $reportDir "meta.json") -Encoding UTF8 if ($CompareWithPrevious) { $previousCsv = Get-ChildItem -Path $LocalReportRoot -Recurse -Filter "files.csv" | Where-Object { $_.FullName -ne $csvPath } | Sort-Object LastWriteTime -Descending | Select-Object -First 1 if ($previousCsv) { $diffPath = Compare-SftpReport -PreviousCsv $previousCsv.FullName -CurrentCsv $csvPath if ($diffPath) { Write-Host "差异报告: $diffPath" } } } Write-Host "审计完成，共 $($fileListWithHash.Count) 个文件，报告目录: $reportDir" } finally { $session.Dispose() } }

3.5 输出文件的审计元信息：meta.json 的意义

很多类似的脚本只输出一个 CSV，但我坚持单次运行同时输出一个meta.json。这个文件记录的是“本次运行本身”的信息：什么时间跑的、连的哪台服务器、扫的哪个根目录、总共发现多少文件、总大小是多少、用的什么哈希算法。

为什么叫“可审计”？因为审计方看到 CSV 时，第一反应是“这份清单是什么时候生成的？谁生成的？范围是什么？有没有可能造假？”meta.json就是回答这些问题的地方。把运行时间精确到秒、把扫描范围写清楚、把算法写明白，配合 Windows 计划任务的运行历史记录，整条证据链就闭环了。

4. 审计落地：快照对比、差异检测与定时调度

4.1 文件清单的“一级标识”设计

拿到两份 CSV 之后，怎么做差异对比？最简单粗暴的方案是逐行比较文件名，但实际生产环境会有各种边界情况：相同文件名在不同目录存在、文件名相同但内容已更新、文件名相同但大小时间都变了等等。

我的做法是构造一个“一级标识”，由三部分拼接而成：相对路径、文件名、文件大小、最后修改时间（UTC），全部拼接成一个字符串。对比时以这个标识为 key，判断文件是否在两次快照之间存在。

function Get-FileIdentity { param($fileItem) return "$($fileItem.RelativePath)/$($fileItem.FileName)|$($fileItem.FileSize)|$($fileItem.LastWriteTimeUtc)" }

为什么把修改时间纳入标识？因为审计场景下，文件是否“变化”应该以内容为准，而内容变化通常伴随文件大小或修改时间的变化。如果 size 和 mtime 都变了，大概率内容也变了。当然最严谨的还是要对比哈希值，但每次全量哈希的成本比较高，所以我把哈希对比作为二次确认项：先拿快照做初步筛选，缩小范围后只对有变化的文件重新计算哈希。

4.2 增量差异检测：新增、变更、缺失三类结果

两次清单对比后，把差异分为三类：

• 新增文件：只存在于本次快照，不存在于上次快照
• 变更文件：两次快照都存在，但 size/mtime 标识不一致
• 缺失文件：只存在于上次快照，本次快照消失

实际代码里用Compare-Object处理会比用嵌套循环高效很多。先把上一次的清单Import-Csv载入，把本次的清单也载入，然后以标识 key 为主键做集合比较。

function Compare-SftpReport { param( [string]$PreviousCsv, [string]$CurrentCsv ) $previous = Import-Csv -Path $PreviousCsv $current = Import-Csv -Path $CurrentCsv $prevKeys = @{} foreach ($item in $previous) { $prevKeys[(Get-FileIdentity $item)] = $item.FileName } $currKeys = @{} foreach ($item in $current) { $currKeys[(Get-FileIdentity $item)] = $item.FileName } $added = @($current | Where-Object { -not $prevKeys.ContainsKey((Get-FileIdentity $_)) }) $removed = @($previous | Where-Object { -not $currKeys.ContainsKey((Get-FileIdentity $_)) }) $changed = @() foreach ($item in $current) { $matchPrev = $previous | Where-Object { $_.RelativePath -eq $item.RelativePath -and $_.FileName -eq $item.FileName } if ($matchPrev -and (Get-FileIdentity $matchPrev[0]) -ne (Get-FileIdentity $item)) { $changed += $item } } $diffRows = @() foreach ($item in $added) { $diffRows += [PSCustomObject]@{ ChangeType = "新增"; Path = "$($item.RelativePath)/$($item.FileName)"; Size = $item.FileSize; LastWrite = $item.LastWriteTimeUtc } } foreach ($item in $changed) { $diffRows += [PSCustomObject]@{ ChangeType = "变更"; Path = "$($item.RelativePath)/$($item.FileName)"; Size = $item.FileSize; LastWrite = $item.LastWriteTimeUtc } } foreach ($item in $removed) { $diffRows += [PSCustomObject]@{ ChangeType = "缺失"; Path = "$($item.RelativePath)/$($item.FileName)"; Size = $item.FileSize; LastWrite = $item.LastWriteTimeUtc } } $diffPath = Join-Path (Split-Path $CurrentCsv -Parent) ("diff_" + (Get-Date -Format "yyyyMMdd") + ".csv") $diffRows | Export-Csv -Path $diffPath -NoTypeInformation -Encoding UTF8 return $diffPath }

实际运行中我发现一个问题：初次运行生成的 CSV 因为汉字段名或者编码问题，用Import-Csv解析时偶尔会有列错位。所以我统一在Export-Csv时指定-Encoding UTF8，Import-Csv时也要保持一致的编码。另外如果 CSV 字段里包含逗号，PowerShell 会自动加引号转义，这个不用手动处理。

4.3 自动调度：计划任务配置要点

脚本写好后，用任务计划程序定时运行。需要注意的是计划任务的执行身份要设置成有权限访问共享路径和 WinSCP 安装目录的服务账号，建议单独建一个专用账号，密码永不过期，且只授予必要权限。

我用的命令是schtasks创建任务，这样能保证脚本可以在任何机器上通过命令行快速配置：

schtasks /Create /TN "SFTP-Audit" /TR "powershell.exe -NoProfile -ExecutionPolicy Bypass -File \"D:\scripts\sftp-audit.ps1\" -SftpHost 192.168.1.100 -SftpUser audit-user -SftpPassword ****** -RemoteBasePath /data/exchange -LocalReportRoot D:\sftp-audit\reports" /SC WEEKLY /D MON /ST 02:00 /RU "DOMAIN\sftp-audit" /RP "******"

如果觉得命令行配置容易出错，也可以用计划任务图形界面操作。里面几个关键点：勾选“不管用户是否登录都要运行”，设置“使用最高权限运行”为否（避免权限过大），触发器选择每周一凌晨 2 点，操作里填powershell.exe加上参数。

4.4 报告保留策略

每周跑一次，一年就是 52 份报告。文件虽然不大，但如果不清理，长期累积下来也占空间。我的策略是保留最近 12 个月的报告，用脚本定期清理更早的目录。

也可以在计划任务里加一条清理命令，每次审计后顺带执行：

$threshold = (Get-Date).AddMonths(-12) Get-ChildItem -Path $LocalReportRoot -Directory | Where-Object { $_.LastWriteTime -lt $threshold } | Remove-Item -Recurse -Force

这个保留周期要根据公司审计要求来定，有些行业要求保留 3 年以上，那就需要外部存储或归档策略。至少要做到目标目录定期清理，避免磁盘被日志和报告堆满。

5. 常见问题与排查技巧实录

5.1 WinSCPnet.dll 加载失败

症状是Add-Type -Path "C:\Program Files (x86)\WinSCP\WinSCPnet.dll"报错，提示无法加载。最常见原因是 WinSCP 版本过旧或者被 64 位/32 位版本混淆。我建议统一安装最新版本，然后加载前先Test-Path检查文件是否存在，同时把错误信息输出出来，而不是直接 abort。

if (-not (Test-Path $winscpDll)) { Write-Warning "WinSCPnet.dll 不存在，尝试从注册表查找安装路径..." $installedPath = (Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\WinSCP*" -ErrorAction SilentlyContinue).InstallLocation if ($installedPath) { $winscpDll = Join-Path $installedPath "WinSCPnet.dll" } }

5.2 中文文件名乱码问题

SFTP 服务器端文件名如果是 UTF-8，而本地 PowerShell 控制台默认编码是 GBK，输出到 CSV 时经常会变成乱码。我的解决办法是统一在Export-Csv时指定-Encoding UTF8，同时在脚本开头设置控制台编码：

[Console]::OutputEncoding = [System.Text.Encoding]::UTF8

还有一个小细节：Get-FileHash的输出不管文件路径是不是中文都没问题，但 CSV 里的中文字段值如果在 Excel 里打开仍是乱码，可以在文件头加上 UTF-8 BOM。PowerShell 5.1 的Export-Csv -Encoding UTF8默认不会带 BOM，需要额外处理。我用的是最低成本的方案：导出后用[System.IO.File]::WriteAllText重新写一次，或者干脆改造成 UTF8BOM 编码导出。

5.3 递归遍历超大目录超时

如果 SFTP 服务器目录层级很深、文件特别多，一次递归遍历可能超过 WinSCP 默认超时时间。处理建议有三个：一是把TimeoutInMilliseconds调大，比如 120000 或 300000；二是每次ListDirectory之后短暂Start-Sleep -Milliseconds 200，给服务器缓冲时间，避免连续请求触发热点保护；三是考虑在远端按日期分子目录存放，这样审计时只需要扫当前周期的目录。

我实际跑过一次包含 5 万多个文件的目录，调整超时后耗时约 25 分钟，还能接受。如果你那边文件量以百万计，这套脚本的性能会吃紧，更合理的方式是结合服务器端当日文件列表，或者分目录多次调度，而不是单次递归全量扫描。

5.4 哈希计算耗时太长怎么办

全量计算 SHA256 确实慢，尤其是大文件。优化策略我在前面提到过：首次全量跑哈希，之后的周度审计只对“新增或变更”文件算哈希。变更文件怎么识别？用Compare-SftpReport跑出来的diff列表，把其中“新增”和“变更”行的相对路径筛选出来，只对这批文件重新下载并哈希，把结果回填到当前 CSV 里。

等于是把全量扫描和增量哈希分开处理：扫描是轻量的，每次都跑；哈希是重量的，只跑有变化的部分。配合计划任务，每周一凌晨先跑扫描和差异，差异里需要哈希的文件数量通常只有几十个，几分钟就搞定了。

5.5 计划任务运行后没有输出，也不知道成功失败

计划任务跑 PowerShell 脚本，默认没有控制台输出，脚本一旦出错往往只能靠任务历史记录里“操作返回代码”来猜。我给脚本加了两层保险：第一层是脚本内部写运行日志文件，记录每一步的关键动作和耗时；第二层是把计划任务的“运行任务”操作设置为powershell.exe加-File参数，并在脚本最外层包一层try/catch，有任何异常就把错误输出写入 log。

try { Invoke-SftpAudit -SftpHost $SftpHost -SftpUser $SftpUser -SftpPassword $SftpPassword -RemoteBasePath $RemoteBasePath -LocalReportRoot $LocalReportRoot } catch { $logMsg = "[$(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')] ERROR: $($_.Exception.Message)" $logMsg | Out-File -Append -FilePath (Join-Path $PSScriptRoot "audit-error.log") -Encoding UTF8 throw }

其实日志的另一个作用是审计留痕：以后如果有人问“每次跑到底出了什么问题”，日志就是第一手证据。

5.6 PowerShell 5.1 与 PowerShell 7 的兼容性差异

如果你用的是 PowerShell 7，部分语法和 .NET API 行为略有不同。最明显的区别是Export-Csv默认编码从 Unicode 变成了 UTF-8，而且Add-Type -Path加载 .NET 程序集的方式也更严格。我建议尽量保持统一环境，要么全用 5.1（Windows Server 自带），要么全用 7，不要混着跑。

另外 WinSCP 的 .NET 程序集官方文档明确支持 .NET Framework 2.0 及以上，PowerShell 7 基于 .NET Core，WinSCP 新版（5.17+）已经支持，但老版本可能不兼容。如果你遇到“无法加载程序集”这种问题，优先升级 WinSCP 到最新版。

结尾：一点实际操作中的体会

做这套方案时我在想，审计最怕的不是文件多，而是说不清楚“上次和这次之间到底发生了什么”。WinSCP 提供稳定可靠的 SFTP 访问能力，PowerShell 负责把访问结果变成结构化数据，再叠加元信息、哈希、差异比对，整个链路就完整了。以后无论谁问起某个文件是什么时候出现的、有没有被动过，我都能从报告目录里翻出明确的答案。

有一点想提醒大家：脚本写完之后，一定不要跑一次就丢在一边。第一个月每周都去检查一下报告内容，看看有没有异常、有没有漏目录、哈希计算有没有失败，这也是在验证脚本本身的稳定性。等连续跑了一个月都稳了，再放心交给计划任务自己去跑。我最初就吃过亏，脚本跑了两周才发现某个子目录因为权限问题一直没被列进去，幸亏发现得早，否则审计数据就不完整了。自动化工具的价值恰恰在于，它稳定运转之后，你可以把精力放在真正需要人来判断的事情上。