如何自动提升批处理文件，以便在需要时请求UAC管理员权限?

我正在使用Matt的出色答案，但我发现在运行提升脚本时，我的Windows 7和Windows 8系统之间存在差异。

在Windows 8上提升脚本后，当前目录被设置为C:\Windows\system32。幸运的是，有一个简单的解决方法，将当前目录更改为当前脚本的路径:

cd /d %~dp0

注意:使用cd /d来确保驱动器号也被更改。

要测试这一点，可以将以下内容复制到脚本中。在两个版本上正常运行可以看到相同的结果。以Admin身份运行，在Windows 8中查看差异:

@echo off
echo Current path is %cd%
echo Changing directory to the path of the current script
cd %~dp0
echo Current path is %cd%
pause

正如jcoder和Matt提到的，PowerShell使它变得很容易，甚至可以在不创建新脚本的情况下嵌入到批处理脚本中。

我修改了马特的剧本:

:: Check privileges
net file 1>NUL 2>NUL
if not '%errorlevel%' == '0' (
powershell Start-Process -FilePath "%0" -ArgumentList "%cd%" -verb runas >NUL 2>&1
exit /b
)


:: Change directory with passed argument. Processes started with
:: "runas" start with forced C:\Windows\System32 workdir
cd /d %1


:: Actual work

我把这个粘贴在脚本的开头:

:: BatchGotAdmin
:-------------------------------------
REM  --> Check for permissions
>nul 2>&1 "%SYSTEMROOT%\system32\icacls.exe" "%SYSTEMROOT%\system32\config\system"


REM --> If error flag set, we do not have admin.
if '%errorlevel%' NEQ '0' (
echo Requesting administrative privileges...
goto UACPrompt
) else ( goto gotAdmin )


:UACPrompt
echo Set UAC = CreateObject^("Shell.Application"^) > "%temp%\getadmin.vbs"
echo args = "" >> "%temp%\getadmin.vbs"
echo For Each strArg in WScript.Arguments >> "%temp%\getadmin.vbs"
echo args = args ^& strArg ^& " "  >> "%temp%\getadmin.vbs"
echo Next >> "%temp%\getadmin.vbs"
echo UAC.ShellExecute "%~s0", args, "", "runas", 1 >> "%temp%\getadmin.vbs"


"%temp%\getadmin.vbs" %*
exit /B


:gotAdmin
if exist "%temp%\getadmin.vbs" ( del "%temp%\getadmin.vbs" )
pushd "%CD%"
CD /D "%~dp0"
:--------------------------------------

如果不是，我使用PowerShell重新启动提升的脚本。把这些句子放在你剧本的最上面。

net file 1>nul 2>nul && goto :run || powershell -ex unrestricted -Command "Start-Process -Verb RunAs -FilePath '%comspec%' -ArgumentList '/c %~fnx0 %*'"
goto :eof
:run
:: TODO: Put code here that needs elevation

我从@Matt的答案中复制了“net name”方法。他的回答有更好的文档记录，并有错误消息等。它的优点是PowerShell已经安装在Windows 7及更高版本上。没有临时VBScript (*.vbs)文件，也不需要下载工具。

只要您的PowerShell执行权限没有被锁定，这个方法应该不需要任何配置或设置就可以工作。

Matt给出了一个很好的答案，但它去掉了传递给脚本的任何参数。下面是我对参数的修改。我还在Windows 8中加入了Stephen对工作目录问题的修复。

@ECHO OFF
setlocal EnableDelayedExpansion


::net file to test privileges, 1>NUL redirects output, 2>NUL redirects errors
NET FILE 1>NUL 2>NUL
if '%errorlevel%' == '0' ( goto START ) else ( goto getPrivileges )


:getPrivileges
if '%1'=='ELEV' ( goto START )


set "batchPath=%~f0"
set "batchArgs=ELEV"


::Add quotes to the batch path, if needed
set "script=%0"
set script=%script:"=%
IF '%0'=='!script!' ( GOTO PathQuotesDone )
set "batchPath=""%batchPath%"""
:PathQuotesDone


::Add quotes to the arguments, if needed.
:ArgLoop
IF '%1'=='' ( GOTO EndArgLoop ) else ( GOTO AddArg )
:AddArg
set "arg=%1"
set arg=%arg:"=%
IF '%1'=='!arg!' ( GOTO NoQuotes )
set "batchArgs=%batchArgs% "%1""
GOTO QuotesDone
:NoQuotes
set "batchArgs=%batchArgs% %1"
:QuotesDone
shift
GOTO ArgLoop
:EndArgLoop


::Create and run the vb script to elevate the batch file
ECHO Set UAC = CreateObject^("Shell.Application"^) > "%temp%\OEgetPrivileges.vbs"
ECHO UAC.ShellExecute "cmd", "/c ""!batchPath! !batchArgs!""", "", "runas", 1 >> "%temp%\OEgetPrivileges.vbs"
"%temp%\OEgetPrivileges.vbs"
exit /B


:START
::Remove the elevation tag and set the correct working directory
IF '%1'=='ELEV' ( shift /1 )
cd /d %~dp0


::Do your adminy thing here...

对于某些程序，将超级机密的__COMPAT_LAYER环境变量设置为RunAsInvoker 将工作。看看这个:

set "__COMPAT_LAYER=RunAsInvoker"
start regedit.exe

尽管这样，将没有UAC提示用户将继续没有管理权限。

我是这样做的:

NET SESSION
IF %ERRORLEVEL% NEQ 0 GOTO ELEVATE
GOTO ADMINTASKS


:ELEVATE
CD /d %~dp0
MSHTA "javascript: var shell = new ActiveXObject('shell.application'); shell.ShellExecute('%~nx0', '', '', 'runas', 1);close();"
EXIT


:ADMINTASKS
(Do whatever you need to do here)
EXIT

CD /d %~dp0将当前目录设置为文件的当前目录(如果还不是，不管文件所在的驱动器，这要感谢/d选项)。

%~nx0返回当前带扩展名的文件名(如果你不包含扩展名，并且文件夹上有一个同名的exe，它将调用exe)。

这个帖子有这么多回复，我甚至不知道我的回复是否会被看到。

无论如何，我发现这种方法比其他答案上提出的其他解决方案更简单，我希望它能帮助到一些人。

下面的解决方案是干净的，工作完美。

1. 下载Elevate zip文件from https://www.winability.com/download/Elevate.zip

2. 在zip中，你会发现两个文件:Elevate64.exe和Elevate64.exe。(如果您需要的话，后者是原生64位编译，不过常规的32位版本elevation .exe应该可以在32位和64位版本的Windows上正常运行)

3. 将文件Elevate.exe复制到Windows总能找到它的文件夹(例如C:/Windows)。或者你最好复制到你打算保存bat文件的文件夹中。

4. 要在批处理文件中使用它，只需在你想以管理员身份执行的命令前加上elevate命令，就像这样:

 elevate net start service ...

虽然不直接适用于这个问题，但因为它需要为用户提供一些信息，当我想运行从任务调度程序提升的.bat文件时，谷歌将我带到了这里。

最简单的方法是为.bat文件创建一个快捷方式，因为对于快捷方式，可以直接从高级属性中设置Run as administrator。

从任务调度程序运行快捷方式，运行提升的.bat文件。

我写了gsudo， a用于windows的sudo:在当前控制台中提升(没有上下文切换到一个新窗口)，有一个凭据缓存(减少UAC弹出)，也提升PowerShell命令。

它允许提升需要管理权限的命令，如果您愿意，也可以提升整个批处理。只需在任何需要运行提升的东西之前前置gsudo 。

使用gsudo提升自身的批处理文件示例:

编辑:新的一行版本，适用于任何windows语言，并避免whoami问题:

net session >nul 2>nul & net session >nul 2>nul || gsudo "%~f0" && exit /b || exit /b
:: This will run as admin ::

替代方案(原版):

@echo off
rem Test if current context is already elevated:
whoami /groups | findstr /b BUILTIN\Administrators | findstr /c:"Enabled group" 1> nul 2>nul && goto :isadministrator
echo You are not admin. (yet)
:: Use gsudo to launch this batch file elevated.
gsudo "%~f0"
goto end
:isadministrator
echo You are admin.
echo (Do admin stuff now).
:end

安装:

• via chocolatey: choco install gsudo
• 或scoop: scoop install gsudo
• 或者从github: https://github.com/gerardog/gsudo中获取

见gsudo in action:

使用powershell。

如果cmd文件很长，我使用第一个需要提升，然后调用一个做实际工作。

如果脚本是一个简单的命令，那么所有内容都可以放在一个cmd文件中。不要忘记在脚本文件中包含路径。

模板:

@echo off
powershell -Command "Start-Process 'cmd' -Verb RunAs -ArgumentList '/c " comands or another script.cmd go here "'"

示例1:

@echo off
powershell -Command "Start-Process 'cmd' -Verb RunAs -ArgumentList '/c "powershell.exe -NoProfile -ExecutionPolicy Bypass -File C:\BIN\x.ps1"'"

示例2:

@echo off
powershell -Command "Start-Process 'cmd' -Verb RunAs -ArgumentList '/c "c:\bin\myScript.cmd"'"

试试这个:

@echo off
CLS
:init
setlocal DisableDelayedExpansion
set cmdInvoke=1
set winSysFolder=System32
set "batchPath=%~0"
for %%k in (%0) do set batchName=%%~nk
set "vbsGetPrivileges=%temp%\OEgetPriv_%batchName%.vbs"
setlocal EnableDelayedExpansion
:checkPrivileges
NET FILE 1>NUL 2>NUL
if '%errorlevel%' == '0' ( goto gotPrivileges ) else ( goto getPrivileges )
:getPrivileges
if '%1'=='ELEV' (echo ELEV & shift /1 & goto gotPrivileges)
ECHO.
ECHO Set UAC = CreateObject^("Shell.Application"^) > "%vbsGetPrivileges%"
ECHO args = "ELEV " >> "%vbsGetPrivileges%"
ECHO For Each strArg in WScript.Arguments >> "%vbsGetPrivileges%"
ECHO args = args ^& strArg ^& " "  >> "%vbsGetPrivileges%"
ECHO Next >> "%vbsGetPrivileges%"
if '%cmdInvoke%'=='1' goto InvokeCmd
ECHO UAC.ShellExecute "!batchPath!", args, "", "runas", 1 >> "%vbsGetPrivileges%"
goto ExecElevation
:InvokeCmd
ECHO args = "/c """ + "!batchPath!" + """ " + args >> "%vbsGetPrivileges%"
ECHO UAC.ShellExecute "%SystemRoot%\%winSysFolder%\cmd.exe", args, "", "runas", 1 >> "%vbsGetPrivileges%"
:ExecElevation
"%SystemRoot%\%winSysFolder%\WScript.exe" "%vbsGetPrivileges%" %*
exit /B
:gotPrivileges
setlocal & cd /d %~dp0
if '%1'=='ELEV' (del "%vbsGetPrivileges%" 1>nul 2>nul  &  shift /1)
REM Run shell as admin (example) - put here code as you like
ECHO %batchName% Arguments: P1=%1 P2=%2 P3=%3 P4=%4 P5=%5 P6=%6 P7=%7 P8=%8 P9=%9
cmd /k

如果你需要关于批处理文件的信息，运行HTML/JS/CSS代码段:

document.getElementsByTagName("data")[0].innerHTML="ElevateBatch, version 4, release<br>Required Commands:<ul><li>CLS</li><li>SETLOCAL</li><li>SET</li><li>FOR</li><li>NET</li><li>IF</li><li>ECHO</li><li>GOTO</li><li>EXIT</li><li>DEL</li></ul>It auto-elevates the system and if the user presses No, it just doesn't do anything.<br>This CANNOT be used to create an Elevated Explorer.";

data{font-family:arial;text-decoration:none}

<data></data>

如果你不关心参数，那么这里有一个紧凑的UAC提示脚本，只有一行长。它不会传递参数，因为没有万无一失的方法来处理所有可能的有毒字符组合。

net sess>nul 2>&1||(echo(CreateObject("Shell.Application"^).ShellExecute"%~0",,,"RunAs",1:CreateObject("Scripting.FileSystemObject"^).DeleteFile(wsh.ScriptFullName^)>"%temp%\%~nx0.vbs"&start wscript.exe "%temp%\%~nx0.vbs"&exit)

在批处理文件的@echo off下面粘贴这一行。

解释

net sess>nul 2>&1部分用于检查仰角。net sess只是net session的缩写，它是一个命令，当脚本没有提升权限时返回错误代码。我从这个SO答案得到这个想法。这里的大多数答案都是net file，尽管它的工作原理相同。该命令快速且在许多系统上兼容。

然后用||操作符检查错误级别。如果检查成功，它将创建并执行一个WScript，该WScript在删除自己之前重新运行原始批处理文件，但具有更高的权限。

选择

WScript文件是快速可靠的最佳方法，尽管它使用临时文件。这里有一些其他的变化和他们的缺点/优点。

PowerShell

net sess>nul 2>&1||(powershell saps '%0'-Verb RunAs&exit)

优点:

• 很短的。
• 没有临时文件。

缺点:

• 缓慢。PowerShell启动可能很慢。
• 当用户拒绝UAC提示时，喷射红色文本。PowerShell命令可以包装在try{...}catch{}中来防止这种情况。

Mshta WSH脚本

net sess>nul 2>&1||(start mshta.exe vbscript:code(close(Execute("CreateObject(""Shell.Application"").ShellExecute""%~0"",,,""RunAs"",1"^)^)^)&exit)

优点:

• 快。
• 没有临时文件。

缺点:

• 不可靠。一些Windows 10系统会阻止脚本运行，因为Windows防御器会拦截它作为一个潜在的木马。

我最近需要一个用户友好的方法，我提出了这个，基于贡献者在这里和在其他地方的宝贵见解。只需将这一行放在.bat脚本的顶部。欢迎您的反馈。

@pushd %~dp0 & fltmc | find "." && (powershell start '%~f0' ' %*' -verb runas 2>nul && exit /b)

土生土长的:

• @pushd %~dp0确保相对于这个批处理文件有一个一致的工作目录;支持UNC路径
• fltmc本机windows命令，如果未提升运行则输出错误
• | find "."使错误更漂亮，并且在提升时不会导致任何输出
• && (如果我们成功因为我们没有被提升而出现错误，执行这个…
• powershell start调用PowerShell并调用Start-Process cmdlet (开始是别名)
• '%~f0'传递这个.bat文件的完整路径和名称。单引号允许在路径/文件名中使用空格
• ' %*'将任何和所有参数传递给这个.bat文件。时髦的引号和转义序列可能不起作用，但简单的引号字符串应该起作用。如果没有参数，需要前导空格来防止破坏
• -verb runas不只是启动这个进程
• 2>nul丢弃PowerShell的难看的错误输出，如果UAC提示被取消/忽略。
• &&如果我们用PowerShell调用自己，那么…
  • 注意:如果我们没有获得仰角(用户取消UAC)，那么&& 允许 .bat在没有仰角的情况下继续运行，这样任何需要它的命令都会失败，但其他命令会正常工作。如果你想让脚本简单地退出，而不是不提升运行，请将其设置为单个&号:&
• exit /b)退出初始的.bat处理，因为我们不再需要它了;我们有一个新的提升进程正在运行我们的.bat。如果.bat是从命令行启动的，则添加/b允许cmd.exe保持打开状态…如果双击.bat，它将不起作用

当你知道一个CMD脚本需要管理员权限时，将这一行添加到脚本的最顶部(在任何@ECHO OFF之后):

NET FILE > NUL 2>&1 || POWERSHELL -ex Unrestricted -Command "Start-Process -Verb RunAs -FilePath '%ComSpec%' -ArgumentList '/c \"%~fnx0\" %*'" && EXIT /b

NET FILE检查现有的Administrator权限。如果没有，PowerShell将在升高 shell中启动当前脚本(带其参数)，并关闭非提升脚本。

一行批处理用户提升(带参数)

沉默

这个版本不会输出任何东西，也不会在出错时暂停执行。

@setlocal disabledelayedexpansion enableextensions
@echo off


:: Admin check
fltmc >nul 2>nul || set _=^"set _ELEV=1^& cd /d """%cd%"""^& "%~f0" %* ^"&&((if "%_ELEV%"=="" ((powershell -nop -c start cmd -args '/d/x/s/v:off/r',$env:_ -verb runas >nul 2>nul) || (mshta vbscript:execute^("createobject(""shell.application"").shellexecute(""cmd"",""/d/x/s/v:off/r ""&createobject(""WScript.Shell"").Environment(""PROCESS"")(""_""),,""runas"",1)(window.close)"^) >nul 2>nul)))& exit /b)

详细的

详细版本，告诉用户正在请求管理权限，并在退出前暂停错误。

@setlocal disabledelayedexpansion enableextensions
@echo off


:: Admin check
fltmc >nul 2>nul || set _=^"set _ELEV=1^& cd /d """%cd%"""^& "%~f0" %* ^"&&((if "%_ELEV%"=="" (echo Requesting administrator privileges...&((powershell -nop -c start cmd -args '/d/x/s/v:off/r',$env:_ -verb runas >nul 2>nul) || (mshta vbscript:execute^("createobject(""shell.application"").shellexecute(""cmd"",""/d/x/s/v:off/r ""&createobject(""WScript.Shell"").Environment(""PROCESS"")(""_""),,""runas"",1)(window.close)"^) >nul 2>nul))) else (echo This script requires administrator privileges.& pause))& exit /b)


echo Has admin permissions
echo Working dir: "%cd%"
echo Script dir: "%~dp0"
echo Script path: "%~f0"
echo Args: %*


pause

操作方法

1. 使用fltmc检查管理员权限。(系统组件，包括在windows2000 +内)
2. 如果用户已具有管理员权限，则继续正常操作。
3. 如果不是，使用任意一种方法生成一个自身的提升版本:
   1. powershell (可选的Windows功能，默认包含在Windows 7+中，可以卸载/否则不可用，可以安装在Windows XP/Vista上)
   2. mshta (系统组件，包括在windows2000 +内)
4. 如果获取提升失败，则停止执行(而不是无休止地循环)。

这个解决方案与其他解决方案的区别是什么?

实际上，解决这个问题的方法有数百种，但我迄今为止发现的所有方法都有其缺点，这是解决其中大多数问题的尝试。

• 兼容性。使用fltmc检查特权，使用powershell或mshta检查提升，适用于2000年以来的每个Windows版本，并且应该涵盖大多数系统配置。
• 不写入任何额外的文件。
• 保存当前工作目录。发现的大多数解决方案都合并了“脚本目录”;使用“工作目录”;这是完全不同的概念。如果你想使用“脚本目录”;相反，用%~dp0替换%cd%。有些人主张使用pushd "%~dp0"来代替，这样网络UNC路径中的路径就像"\\ persons - pc \share"将工作，但这也会自动映射到一个驱动器号(如Y:)，这可能是或可能不是你想要的。
• 如果无法获得高度则停止。出现这种情况的原因有很多，比如用户点击“不”;在UAC提示符，UAC被禁用，组策略设置等。许多其他解决方案在这一点上进入了一个无休止的循环，产生了数百万个命令提示，直到宇宙热死。
• 支持(大多数)命令行参数和奇怪的路径。比如& &，百分号%，插入号^，以及引号“;""”的不匹配数量。你仍然可以通过传递这些足够奇怪的组合来打破这个问题，但这是Windows批处理的固有缺陷，不能真正解决任何组合。大多数典型的用例应该包括在内，并且参数在没有提升脚本的情况下也能正常工作。

已知的问题

如果输入的命令行参数的双引号数量不匹配(即不能被2整除)，则会添加一个额外的空格和插入号^作为最后一个参数。例如，"arg1" arg2" """" "arg3"将变成"arg1" arg2" """" "arg3" ^。如果这对您的脚本很重要，您可以添加逻辑来修复它，f.ex。检查_ELEV=1(意味着需要抬高)，然后检查参数列表的最后一个字符是否为^和/或引号的数量不匹配，并删除行为不当的插入符号。

日志输出到文件的示例脚本

你不能轻易使用>对于标准输出日志记录，因为在提升中产生了一个新的CMD窗口，并切换了执行上下文。

你可以通过传递越来越奇怪的转义字符组合来实现它，比如elevate.bat testarg ^^^> test.txt，但然后你需要让它总是生成新的cmd窗口或添加逻辑来去除插入符号，所有这些都增加了复杂性，在许多情况下它仍然会中断。

最好和最简单的方法是在批处理脚本中添加日志记录，而不是尝试从命令行重定向。这样你就不用再头疼了。

这里有一个例子，你可以很容易地实现你的脚本日志:

@setlocal disabledelayedexpansion enableextensions
@echo off


:: Admin check
fltmc >nul 2>nul || set _=^"set _ELEV=1^& cd /d """%cd%"""^& "%~f0" %* ^"&&((if "%_ELEV%"=="" (echo Requesting administrator privileges...&((powershell -nop -c start cmd -args '/d/x/s/v:off/r',$env:_ -verb runas >nul 2>nul) || (mshta vbscript:execute^("createobject(""shell.application"").shellexecute(""cmd"",""/d/x/s/v:off/r ""&createobject(""WScript.Shell"").Environment(""PROCESS"")(""_""),,""runas"",1)(window.close)"^) >nul 2>nul))) else (echo This script requires administrator privileges.& pause))& exit /b)


set _log=
set _args=%*
if not defined _args goto :noargs
set _args=%_args:"=%
set _args=%_args:(=%
set _args=%_args:)=%
for %%A in (%_args%) do (if /i "%%A"=="-log" (set "_log=>> %~n0.log"))
:noargs


if defined _log (echo Logging to file %~n0.log) else (echo Logging to stdout)
echo Has admin permissions %_log%
echo Working dir: "%cd%" %_log%
echo Script dir: "%~dp0" %_log%
echo Script path: "%~f0" %_log%
echo Args: %* %_log%


echo Hello World! %_log%


pause

封闭的思想

让我困惑的是，一个简单的“ELEVATE"即使在UAC存在15年后，指令也没有被引入到批处理中。也许有一天微软会振作起来。在此之前，我们必须使用这些黑客。

%1 start "" mshta vbscript:CreateObject("Shell.Application").ShellExecute("cmd.exe","/c pushd ""%~dp0"" && ""%~s0"" ::","","runas",1)(window.close)&&exit