Windows PowerShell禁止运行脚本导致Python venv激活失败怎么解决

在 Windows PowerShell 中激活 Python 虚拟环境时，如果终端弹出红字提示“在此系统上禁止运行脚本”，核心解决办法是将当前用户作用域的执行策略从默认的 Restricted 修改为 RemoteSigned。本文将具体说明报错触发的机制、单行命令修复步骤，以及在不修改系统全局策略时的免提权绕过方案。

报错表现与触发机理

创建 Python 虚拟环境后，开发者通常会在虚拟环境所在目录下运行激活脚本。在 PowerShell 中，执行的命令通常为：

.\venv\Scripts\Activate.ps1

按下回车后，控制台没有出现预期的 (venv) 前缀，而是输出了如下红色错误信息：

.\venv\Scripts\Activate.ps1 : 无法加载文件 C:\project\venv\Scripts\Activate.ps1，因为在此系统上禁止运行脚本。
有关详细信息，请参阅 https:/go.microsoft.com/fwlink/?LinkID=135170 中的 about_Execution_Policies。
所在位置 行:1 字符: 1
+ .\venv\Scripts\Activate.ps1
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : SecurityError: (:) []，PSSecurityException
    + FullyQualifiedErrorId : UnauthorizedAccess

该报错由 Windows PowerShell 内置的执行策略（Execution Policy）拦截引起，并不代表 Python 安装异常或虚拟环境损坏。执行策略是 Windows 防止用户意外执行恶意脚本的防护机制。在客户端系统的默认配置下，策略往往设定为 Restricted，该模式拒绝执行任何 .ps1 脚本文件。由于 venv 的激活本质上是调用本地的 Activate.ps1 来修改当前控制台的环境变量，因而直接被系统安全机制截断。

图 1：PowerShell 执行策略拦截机制与报错链路

核心修复步骤：调整用户级执行策略

最常用、最稳定的解决方案是将 PowerShell 的执行策略调整为 RemoteSigned。该策略允许运行本地编写的脚本，同时要求从互联网下载的脚本必须具备受信任的数字签名。为了兼顾安全性并且避免以管理员权限修改整台电脑的配置，推荐将修改范围锁定在 CurrentUser（当前用户）作用域。

步骤一：查看当前执行策略状态

在当前的 PowerShell 窗口中输入以下命令，查看各层级的策略设置：

Get-ExecutionPolicy -List

        Scope ExecutionPolicy
        ----- ---------------
MachinePolicy       Undefined
   UserPolicy       Undefined
      Process       Undefined
  CurrentUser       Undefined
 LocalMachine      Restricted

如果 CurrentUser 和 LocalMachine 均为 Restricted 或 Undefined，系统生效的最终规则就是拒绝运行脚本。

步骤二：修改当前用户的执行策略

无需打开管理员权限窗口，直接在常规 PowerShell 终端运行以下配置命令：

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

执行后，终端会出现确认提示，询问是否更改执行策略：

执行策略更改
执行策略有助于防止执行不信任的脚本。更改执行策略可能会产生安全风险。是否要更改执行策略?
[Y] 是(Y)  [A] 全全是(A)  [N] 否(N)  [L] 保持(L)  [S] 暂停(S)  [?] 帮助 (默认值为 "N"):

在提示符后输入 Y 并按下回车确认。

步骤三：验证并重新激活虚拟环境

修改完成后，再次运行 Get-ExecutionPolicy，如果终端返回 RemoteSigned，说明设置已生效。此时即可运行虚拟环境激活命令：

.\venv\Scripts\Activate.ps1

当终端命令行最左侧出现 (venv) 字样时，说明 Python 虚拟环境已成功激活。

图 2：推荐的执行策略规范修改与验证三步法

两种配置方式的区别：系统级修改与单用户修改

很多网络教程通常直接给出 Set-ExecutionPolicy RemoteSigned 命令。如果在执行时不加 -Scope 参数，PowerShell 默认会将修改目标对准 LocalMachine（整机策略）。理解这两种作用域的区别对于维护系统安全至关重要：

在多用户使用的工作站或受公司 IT 策略托管的设备上，直接修改全局配置往往会触发 Access to the registry key is denied 错误。因此，始终优先使用 -Scope CurrentUser 是开发环境中的最佳实践。

图 3：CurrentUser 与 LocalMachine 策略范围与影响隔离对照

其他替代方案：免改系统策略的临时解法

如果你使用的是严格限制执行策略的公共机房电脑或企业内网机器，无法修改 CurrentUser 策略，可以采用以下两种替代方式绕过脚本限制。

方案一：仅对当前终端进程绕过限制（Scope Process）

PowerShell 支持将策略变更只作用于“当前打开的这一个窗口会话”。窗口关闭后，设置随之失效，不会在系统中留下任何持久修改：

Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process
.\venv\Scripts\Activate.ps1

该方式完全不需要管理员权限，适合临时调试项目。

方案二：改用传统命令提示符（CMD）

Windows 系统的“禁止运行脚本”策略是 PowerShell 独有的机制，经典的命令提示符（cmd.exe）完全不受此规则制约。

如果在当前终端中直接输入 cmd 切入命令提示符界面，或者直接打开 CMD 终端，运行其对应的批处理脚本即可直接激活：

.\venv\Scripts\activate.bat

常见问题与排查清单

若在执行上述步骤后仍然遇到异常，请根据以下场景检查环境设置：

1. VS Code 等集成终端未同步刷新：在 VS Code 内置终端中修改策略后，有时当前已开启的终端实例未能感知策略变化。请点击终端右上角的垃圾桶图标关闭当前实例，重新通过 Ctrl + ` 打开新终端尝试。
2. 企业组策略强制覆盖（MachinePolicy）：如果在运行 Get-ExecutionPolicy -List 时看到 MachinePolicy 被设定为 Restricted，说明域管理员下发了组策略（GPO）。此时任何本地策略修改都会被覆盖失效，请直接使用上文提到的 Scope Process 临时绕过 或改用 CMD 批处理脚本。
3. 路径包含空格导致解析失败：如果项目路径含有空格（例如 D:\My Projects\app），直接输入激活命令可能会提示找不到路径。请使用双引号包裹路径并使用调用操作符：

   & ".\venv\Scripts\Activate.ps1"

图 4：解决 Python venv 脚本运行受限问题的决策总结图