Codex 沙箱启动 PowerShell 进程失败？排查思路与解决办法

最近在折腾开发环境的时候，遇到一个挺棘手的问题：在 Codex 沙箱里无论如何都起不来 Windows PowerShell 进程。这事儿对于日常开发和调试来说简直是当头一棒，毕竟 PowerShell 在 Windows 环境下的地位还是不可撼动的。如果你也碰上了类似的“坑”，别急着重装系统，咱们可以按照下面的思路一步步排查，说不定就能找到病灶。

一、先搞清楚“为什么”会失败

沙箱（Sandbox）本身就是一个隔离环境，它为了安全起见，会对系统权限、网络访问以及进程启动做各种限制。PowerShell 作为一种强大的脚本执行工具，往往会被沙箱的“安全策略”重点盯防。

启动失败通常无外乎这么几个原因：

执行策略限制：Windows 默认的执行策略可能设置为 Restricted，禁止运行脚本，甚至限制交互式会话的某些操作。
权限不足：沙箱内的用户权限可能没有拉满，无法创建进程或访问必要的系统 DLL。
环境变量缺失：Path 路径没配好，或者沙箱内根本就没安装完整版的 PowerShell，只是个阉割版。
依赖库冲突：沙箱隔离了底层的 API 调用，某些 .NET 库或系统组件加载失败。

二、一步步排查：从简单到复杂

别慌，我们按顺序来试。

PowerShell 命令行界面示意图

图示：PowerShell 命令行界面

1. 检查 PowerShell 版本和路径

首先，确认一下你在沙箱里到底能不能找到 PowerShell。打开沙箱的终端（哪怕是 CMD 也行），输入：

where powershell

或者直接试一下能不能进 pwsh（如果是 PowerShell Core）：

PowerShell 执行策略设置示意图

图示：检查和修改 PowerShell 执行策略

pwsh --version

如果提示“找不到命令”，那说明环境变量没配或者压根没装。这时候你得检查一下沙箱的 Dockerfile 或者初始化脚本，确保 PowerShell 已经被正确安装并加入了 Path。

2. 修改执行策略

如果命令能找到，但一运行就报错或者是闪退，大概率是执行策略的问题。尝试临时绕过限制（仅用于测试排查）：

Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force

这行命令只对当前进程有效，不会破坏系统的整体安全性。执行完后再尝试启动你的 PowerShell 进程，看看是否正常。

3. 查看详细报错日志

很多时候，启动失败只给了一个冷冰冰的“Failed”信息，这根本没用。我们需要更详细的日志。如果你是在代码中调用 PowerShell（比如 Python 的 subprocess），务必捕获 stderr。

例如在 Python 中：

import subprocess

try:
    result = subprocess.run(["powershell", "-Command", "Get-Host"], capture_output=True, text=True, check=True)
    print(result.stdout)
except subprocess.CalledProcessError as e:
    print("Error:", e.stderr)

仔细阅读 stderr 里的内容，通常它会告诉你到底是哪个 DLL 缺失，还是哪个权限被拒绝。

4. 检查沙箱的用户与权限

有些沙箱默认以 ContainerUser 或 ContainerAdministrator 运行。如果某些操作需要管理员权限，而你当前的上下文又不够，进程自然起不来。

你可以尝试在启动命令前加上显式的权限提升（如果沙箱支持），或者在启动参数中加入 -NoProfile，避免因为加载配置文件而触发权限拦截：

powershell -NoProfile -ExecutionPolicy Bypass

三、终极解决方案

如果以上招数都不管用，可能得动点“外科手术”了。

切换到 PowerShell Core (pwsh)：Windows 自带的 PowerShell 5.1 依赖较多老式组件，而跨平台的 PowerShell 6/7+ 在容器环境下的兼容性通常更好。如果你的场景允许，试着安装 pwsh 并用它替代传统的 powershell.exe。
重新构建镜像：如果你是用的 Docker 镜像，检查一下基础镜像。最好选用微软官方维护的 Windows Server Core 或者 Nano Server 镜像，它们对沙箱的支持度最高。不要随便用那些精简过头的第三方镜像，容易缺胳膊少腿。
Host 进程检查：确保宿主机的 Windows 版本和沙箱兼容。有时候宿主机开启了某些极端的安全策略（如 Credential Guard），也会传导到沙箱里，导致进程孵化失败。

四、总结

Codex 沙箱启动 PowerShell 失败虽然搞人心态，但大多是环境配置或权限隔离导致的问题。先确认环境变量，再试执行策略，最后看日志抠细节。如果实在不行，换个 pwsh 也许就能满血复活。

希望这篇排查笔记能帮你省下几个小时的抓狂时间。如果你有更奇葩的报错，欢迎在交流区接着聊，咱们一起把这些坑填平！