安装OpenClaw的体验很多Windows用户都会在某一步突然被PowerShell的红字拦在半路无法加载文件 D:\tools\openclaw\install.ps1因为在此系统上禁止运行脚本。这行字看起来挺吓人尤其是第一次碰命令行的人会以为自己哪里操作错了甚至怀疑是账号权限问题。其实它跟权限不够没什么关系是PowerShell的执行策略Execution Policy默认不让你跑这种脚本文件。OpenClaw这类用.ps1脚本做安装器的开源工具尤其容易踩这个坑因为安装脚本本身就是一段PowerShell代码。这篇文章专门讲清楚这个报错背后的完整逻辑为什么Windows默认禁止、怎么安全地把安装跑通、改完策略还报错又是哪里没弄干净。我按实际排查的顺序来写保证你把这篇看到最后能自己判断该用哪条命令解决也知道每一步是在放开什么、为什么要放开。1. 先看懂那行红字PowerShell执行策略是怎么拦住install.ps1的1.1 报错信息里藏着三个关键点完整报错大概长这样无法加载文件 D:\tools\openclaw\install.ps1因为在此系统上禁止运行脚本。有关详细信息请参阅 about_Execution_Policies。 所在位置 行:1 字符: 1 .\install.ps1 ~~~~~~~~~~~~~ CategoryInfo : PermissionDenied: 无法加载文件 D:\tools\openclaw\install.ps1因为在此 系统上禁止运行脚本。 FullyQualifiedErrorId : UnauthorizedAccess拆开看就三条信息有用无法加载文件说明PowerShell确实找到了这个文件不是路径写错。禁止运行脚本这是执行策略在拦不是文件被占用。UnauthorizedAccess这个错误类别是PowerShell明确告诉你当前进程的脚本引擎拒绝了执行请求。换句话说OpenClaw的安装脚本本身没坏是你的PowerShell会话没有许可去执行它。1.2 执行策略是什么一个门卫机制执行策略简单说就是PowerShell的一层开关决定哪些脚本能在这个机器上被运行。它默认值是Restricted意思是任何.ps1文件都不允许执行。你在命令行里手敲命令完全没问题因为它不涉及脚本文件但只要你运行.\install.ps1就会被判为不允许运行的脚本。这个设计跟Windows和Linux的工具哲学差异有关。Linux系脚本天生就有可执行权限标志而Windows上.cmd、.exe这类二进制程序有另外一套安全检查.ps1则算纯文本代码风险完全取决于内容本身所以系统默认宁可错杀也不放过。1.3 先看看你的策略到底是怎么设置的遇到报错后第一件事不是急着改而是看当前状态。打开PowerShell执行Get-ExecutionPolicy如果输出是Restricted那就对了这就是报错根源。再执行Get-ExecutionPolicy -List你会看到类似这样的输出Scope ExecutionPolicy ----- --------------- MachinePolicy Undefined UserPolicy Undefined Process Undefined CurrentUser Undefined LocalMachine Restricted这里每一行代表一个作用域Scope最终生效的是优先级最高的那个。你现在需要知道的是LocalMachine是Restricted所以所有用户、所有脚本都被拦。后面第4节会详细讲这几个作用域怎么互相覆盖现在先用这条命令确认问题存在。2. 默认禁止脚本不是bug这套安全设计的初衷和误伤2.1 为什么不直接放开恶意脚本就是靠双击运行传播的Windows的脚本安全问题有个很现实的历史教训用户拿到一个文件双击就想让它跑起来完全不看内容。如果系统默认允许所有.ps1运行那恶意脚本只需要伪装成合法工具就行连绕过UAC都不需要直接就是代码执行。所以Windows默认是Restricted宁可让小白卡在禁止运行脚本也不能让恶意脚本畅通无阻。2.2 被误伤的正常需求手动下载的开源安装脚本问题在于OpenClaw这种工具分发安装方式就是让你下载仓库然后运行里面的install.ps1完成依赖下载、目录创建、环境变量配置。这种情况下用户是主动、明确地要执行这个脚本和恶意脚本偷偷运行完全是两回事。但PowerShell分不清你下载的是安全脚本还是恶意脚本它只能按规则办事默认禁止所有。这就是典型的安全机制误伤正常使用。2.3 执行策略的五种模式按开放程度排序模式本地创建的脚本从网络下载的脚本说明Restricted禁止禁止Windows默认所有.ps1拒绝执行AllSigned需要数字签名需要数字签名最严格本地没签名也跑不了RemoteSigned允许需要有可信数字签名最常用兼顾安全和便利Unrestricted允许允许但有警告提示较为宽松Bypass允许允许不阻止、不警告相当于关闭门卫注意最后一行的Bypass它不是一个策略值更像是一个别管了的标记。很多安装文档会让你用Bypass去执行脚本这是惯用做法我会在下一节详细说。3. 按风险从小到大排序四种可落地的解决方式3.1 最轻量只对当前进程临时放开如果OpenClaw的安装脚本只是这一次运行你完全不应该动任何持久配置。最简单的方法是在新开的PowerShell窗口里先输入Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force执行完后当前这个PowerShell窗口的进程作用域就是Bypass然后你再运行.\install.ps1装完之后不需要恢复因为这个改动只存在于当前进程窗口关掉就没了。其他窗口、以后启动的PowerShell完全不受影响。这个方法是我个人最推荐的初始方案。它的缺点是如果你不小心关了窗口安装到一半下次还得重新设置一遍。3.2 不动内部状态直接带参数启动新PowerShell进程如果你在cmd、Windows Terminal或者资源管理器地址栏里想运行安装脚本可以不进PowerShell一步到位。直接在cmd或终端里执行powershell -NoProfile -ExecutionPolicy Bypass -File .\install.ps1拆开看-ExecutionPolicy Bypass只对这个新启动的进程生效-File .\install.ps1指定要运行的脚本-NoProfile是为了不加载用户配置文件减少干扰。这个方法连Set-ExecutionPolicy都不需要执行策略保持原样纯粹是单独给这个脚本开一次后门。很多开源项目在Windows的安装文档里写的就是这个命令你以后看到powershell -ExecutionPolicy Bypass -File这串时就知道它是在干嘛了。3.3 最常用持久方案给当前用户开RemoteSigned如果你不仅装OpenClaw平时也经常要跑一些自己写的或者可信来源的PowerShell脚本那给当前用户设置RemoteSigned是比较平衡的选择。Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser注意这里用了-Scope CurrentUser意思是只改当前Windows用户的设置不需要管理员权限也不影响系统里其他用户。它和默认的Restricted的区别是本机自己创建的.ps1可以直接运行而从网络下载的脚本必须有可信数字签名才能运行。RemoteSigned的好处是以后你运行自己写的脚本不会报错同时浏览器下载的陌生脚本依然会被拦一道。对普通开发者的日常来说这个状态算是最舒服的。3.4 最彻底但通常不必要改LocalMachine有些安装步骤会建议你运行Set-ExecutionPolicy -ExecutionPolicy RemoteSigned不带-Scope参数时默认写的是LocalMachine也就是这台机器所有用户都生效。但这一步通常要求当前窗口有管理员权限普通用户窗口会直接报错拒绝访问。对于安装OpenClaw这样一次性的操作我强烈不建议去动LocalMachine。原因很简单你为了装一个工具把整个系统所有用户的策略都改了影响面太大之后很容易忘记这回事。如果已经设置了想恢复就执行Set-ExecutionPolicy -ExecutionPolicy Restricted -Scope LocalMachine4. 改完还是报错藏在作用域、编码和双终端里的五个坑如果你照着上面的命令改完重新运行.\install.ps1依然报禁止运行脚本问题通常不在执行策略本身而是下面几个角落。4.1 作用域优先级你改的那一层根本没生效Get-ExecutionPolicy -List显示的五层作用域生效优先级是固定的MachinePolicyUserPolicyProcessCurrentUserLocalMachine也就是说MachinePolicy和UserPolicy只要不是Undefined它们会压过你在CurrentUser和LocalMachine里的所有设置。如果MachinePolicy是Restricted你就算把CurrentUser改成Bypass最终执行策略依然是Restricted。这种情况一般出现在企业电脑或装了安全软件的机器上。判断方法很简单Get-ExecutionPolicy -List如果前两行MachinePolicy或UserPolicy显示的是具体值而不是Undefined那就是被策略锁住了普通用户改不了。这时你需要联系管理员处理或者改用不依赖脚本执行策略的安装方式——比如把.ps1内容手动贴到命令行里执行但那样很麻烦不推荐。4.2 你以为改了RemoteSigned网络下载的脚本还是被拦处理完作用域问题后还报错另一个高频原因就是你改成了RemoteSigned但OpenClaw的install.ps1是通过浏览器下载的Windows在文件上打了一个来自网络的标记Mark of the WebRemoteSigned要求这种文件必须有可信数字签名而开源脚本大多数不会签名。所以你在执行之前先看这个脚本是不是从网络来的。右键点击install.ps1打开属性看常规选项卡底部有没有解除锁定复选框。如果有勾选并确定然后重新执行安装。提示解除锁定只是移除网络来源标记让RemoteSigned放行本地文件并不会把Unrestricted变成RemoteSigned。如果你用的是Bypass方式启动这一步其实可以跳过因为Bypass不会检查文件来源。这也是为什么安装文档普遍推荐Bypass而不是RemoteSigned。4.3 Windows PowerShell和PowerShell 7是两套配置如果你电脑上装了PowerShell 7也就是pwsh要非常小心它和Windows自带的Windows PowerShellpowershell.exe各自有一套执行策略配置。你在Windows PowerShell窗口里执行Set-ExecutionPolicy改的是5.1那套如果安装文档让你打开的是PowerShell 7标签页你前面在另一个窗口做的设置完全不生效。判断自己用的是哪个先看版本$PSVersionTable.PSVersion如果是5.1.x就是Windows PowerShell如果是7.x就是PowerShell 7。解决这个坑最简单的方法是Get-ExecutionPolicy -List看当前终端的生效值然后对照预期值别只盯着CurrentUser那一行。4.4 脚本文件编码或路径里的中文/空格问题install.ps1的编码也可能造成奇奇怪怪的错误。如果你用记事本下载或另存过脚本Windows PowerShell 5.1默认按ANSI编码解析。脚本里一旦有中文注释或中文字符串而文件是UTF-8无BOM解析阶段就会乱码报的不是禁止运行脚本而是语法错误。解决方法是用VS Code打开脚本另存为UTF-8 with BOM格式或者直接改用PowerShell 7。另外脚本路径如果包含中文、空格执行时要注意用引号包裹或者先cd到脚本所在目录再用相对路径运行不然PowerShell会把路径拆开报错信息也会变得奇怪。5. 安装之前花两分钟检查脚本比事后放开策略更省心5.1 先看脚本内容再决定要不要信任它很多人的习惯是拿到脚本直接跑报错就搜一篇教程把策略放开。我的习惯是先花一分钟看脚本里到底写了什么。在PowerShell里执行Get-Content .\install.ps1 -TotalCount 100重点看三块头部注释作者、用途、是否有从远程地址下载内容的操作、是否往系统目录或注册表写入内容。如果是标准的分发安装脚本头部注释会写得很清楚如果脚本一上来就静默下载执行别人服务器上的东西你就该警惕了。5.2 校验哈希或签名如果脚本是从官方仓库或官网下载的官方一般会提供SHA256哈希值。你可以这样算本地文件的哈希Get-FileHash .\install.ps1 -Algorithm SHA256然后和官方公布的值比对。更进一步OpenClaw如果发布了签名版本可以查看脚本的数字签名Get-AuthenticodeSignature .\install.ps1Status显示Valid才说明签名没问题。注意哈希校验和数字签名是两个不同维度的安全手段哈希解决文件有没有被篡改签名解决发布者是谁、有没有被改。5.3 安装完成后恢复一个干净的状态无论你用哪种方式解决了报错装完OpenClaw之后我建议看一眼当前策略并恢复到合理状态Get-ExecutionPolicy如果你用的是进程级方案关闭窗口就等于恢复如果改过CurrentUser装完后可以执行Set-ExecutionPolicy -ExecutionPolicy Restricted -Scope CurrentUser -Force把策略还原成系统默认。如果之后你想保留日常脚本便利性那RemoteSigned也是可接受的只要你能确认自己机器上的脚本来源基本可控就行。6. 场景速查遇到这个报错到底该选哪条路最后放一张我在不同场景下实际会用到的命令对照表方便你把上面的内容落到具体操作里。你的情况推荐操作只想赶紧把OpenClaw装完不想留任何持久改动powershell -NoProfile -ExecutionPolicy Bypass -File .\install.ps1已经在PowerShell窗口里临时改一下再跑Set-ExecutionPolicy -Scope Process Bypass -Force然后.\install.ps1平时也会跑自己的脚本希望以后少点报错Set-ExecutionPolicy -Scope CurrentUser RemoteSigned -Force改成RemoteSigned后还是被拦且文件是从浏览器下载的右键脚本文件属性里勾选解除锁定Get-ExecutionPolicy -List里MachinePolicy/UserPolicy不是Undefined被策略锁定只能找管理员处理改了策略但运行窗口是PowerShell 7跟预期不一致检查$PSVersionTable.PSVersion统一在同一个终端操作脚本路径里有中文或空格用引号包住路径或先cd到脚本目录再用相对路径我自己碰到这类问题时的处理原则就三条能不动持久配置就不动能只影响当前用户就不影响全局装完一定要记得把策略窗口关掉。PowerShell的执行策略本身不复杂搞懂作用域和文件来源这两个概念你以后再看任何安装脚本报错都不会慌着去搜教程了。