powershell是windows组件完整性检测首选工具，需构建可持续验证机制；dism三级检查（/checkhealth→/scanhealth→/restorehealth）须递进执行；sfc必须在dism修复后运行；还需覆盖.net、rsat、openssh、驱动等非winsxs组件；结果须落盘日志并写入事件日志。
powershell 是检测 windows 系统组件完整性的首选工具，它能调用底层系统命令、解析结果、自动响应异常，并生成可追溯的记录。关键不在于“运行一次命令”，而在于构建可持续验证、可批量执行、可分级告警的检查机制。
DISM 三级健康检查必须串联执行
DISM 的 /CheckHealth、/ScanHealth 和 /RestoreHealth 不是并列选项，而是递进式诊断链：
-
/CheckHealth是秒级快检，只查已知损坏标记，适合每日轻量巡检 -
/ScanHealth深度校验 WinSxS 组件存储哈希与引用关系，耗时 2–5 分钟，建议每周执行 -
/RestoreHealth不应无条件触发，必须在/ScanHealth明确返回“映像损坏”后才启动，且需指定可靠源（如/Source:WIM:E:\sources\install.wim:1或启用 Windows Update 回退）
脚本中应避免写成 if($output -like "*corrupt*") { DISM /RestoreHealth } 这类模糊匹配，推荐用正则提取标准状态码：
$scan = DISM /Online /Cleanup-Image /ScanHealth | Out-String
if ($scan -match 'Image\:\s+Healthy') { Write-Host "通过" }
elseif ($scan -match 'Image\:\s+Corrupted') { Start-RestoreProcess }
SFC 必须置于 DISM 修复之后执行
SFC 依赖系统映像完整性。若先跑 sfc /scannow 而映像本身已损坏，修复成功率极低。自动化流程应严格遵循：
- 先运行
/CheckHealth判断是否需深度扫描 - 再运行
/ScanHealth确认损坏状态 - 仅当确认损坏时，执行
/RestoreHealth+ 重启（如需） - 最后运行
sfc /scannow校验系统文件层
可在脚本末尾加一句验证：
$sfcResult = sfc /scannow /offbootdir=C:\ /offwindir=C:\Windows 2>&1 | Out-String
if ($sfcResult -match 'successfully repaired') { $status = "Clean" }
组件完整性检查要覆盖非 WinSxS 范围
除 DISM/SFC 外，以下组件也常因更新失败或手动修改导致完整性丢失，需一并纳入脚本：
- .NET Framework 安装状态：
Get-WindowsOptionalFeature -Online -FeatureName NetFx3（Win10/11） - RSAT 工具完整性：
Get-WindowsCapability -Name "RSAT*" -Online | Where-Object State -eq "NotPresent" - OpenSSH Server 文件签名：
Get-AuthenticodeSignature "C:\Windows\System32\OpenSSH\sshd.exe" - 驱动程序签名一致性：
Get-WindowsDriver -Online -All | Where-Object {$_.SignatureState -ne "Signed"}
每项检查返回结构化对象，例如：
[PSCustomObject]@{
Component = "OpenSSH Server Binary";
Status = if ($sig.Status -eq 'Valid') {'OK'} else {'Tampered'};
Path = "C:\Windows\System32\OpenSSH\sshd.exe"
}
结果必须落盘且支持人工复核
所有检查输出不应仅打印到控制台。每次执行应：
- 自动生成带时间戳的日志文件（如
IntegrityCheck_20260607-0523.log） - 同时导出为 CSV，字段含：
CheckTime,Component,Status,Detail,Remediated - 若发现高危项（如映像损坏、驱动未签名），自动写入 Windows 事件日志（
Write-EventLog -LogName Application -Source "SysIntegrity" -EventId 1001 -EntryType Error -Message "DISM Corrupted Image Detected"）
这样既满足审计要求，也便于后续用 Get-WinEvent -FilterHashtable @{LogName='Application'; Source='SysIntegrity'} 批量回溯。
不复杂但容易忽略
