Chocolatey安装报错排查：PowerShell执行策略与TLS配置指南

最近在Windows上装Chocolatey报错的情况，我几乎每隔一段时间就会遇到一次。尤其是第一次接触这个工具的人，明明照着官方文档敲了一行安装命令，结果屏幕上一片红字，不是“禁止运行脚本”就是“未能创建 SSL/TLS 安全通道”，心态直接爆炸。Chocolatey这个包管理器本身确实好用，能让你在Windows上像Linux那样用命令行批量安装、升级和卸载软件，特别适合开发机初始化、服务器环境准备和日常工具链维护。但它的安装过程对PowerShell版本、脚本执行策略、网络协议版本都有隐性要求，任何一个环节不对，都会表现为一段让人摸不着头脑的报错。

这篇文章把我实际排查过的Chocolatey安装报错场景做一个完整梳理，从官方安装命令背后做了什么，到高频报错速查，再到一步步排查链路，最后是装好之后还会踩的坑。无论你是刚接触命令行的新手，还是准备在服务器或者团队机器上批量初始化环境的老手，沿着这篇文章的顺序走一遍，大概率能解决你的问题。

1. 安装命令到底做了什么：三条核心依赖先说清楚

很多人在排错时容易忽略一个最基本的问题：Chocolatey官方的安装命令，本质上不是一个安装包，而是一段从网络上拉取并立即执行的PowerShell脚本。理解了这一点，后面所有报错就都有了解释。

官方现在的推荐安装命令是这样的：

Set-ExecutionPolicy Bypass -Scope Process -Force; [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072; iex ((New-Object System.Net.WebClient).DownloadString('https://community.chocolatey.org/install.ps1'))

拆开看，这条命令做了三件事，每一件都可能成为报错的来源。

1.1 执行策略与PowerShell安全模型

第一段Set-ExecutionPolicy Bypass -Scope Process -Force，意思是只在当前这个PowerShell进程里临时放开脚本执行限制。Windows默认的PowerShell执行策略是Restricted，也就是不允许运行任何脚本文件。如果不先放开这个限制，后面iex执行脚本时会被直接拦下来，报错内容通常是：

无法加载文件 install.ps1，因为在此系统上禁止运行脚本。

这里有个容易忽略的细节：-Scope Process只对当前窗口生效，不会改变系统全局的执行策略。这样做是安全的，因为你不需要永久降低系统安全级别。有些教程让你直接Set-ExecutionPolicy RemoteSigned然后全局改掉，我个人不建议这么做，尤其是服务器环境，没必要为了装一个工具把系统安全策略放宽。

需要注意的是，如果你是通过普通权限的PowerShell窗口运行，有些Windows版本还会提示“访问被拒绝”。执行策略的修改本身也需要管理员权限，所以从第一步开始，你就应该用“以管理员身份运行”的PowerShell。

1.2 TLS协议版本：老系统最容易被卡在这里

第二段[System.Net.ServicePointManager]::SecurityProtocol = ... -bor 3072的作用，是把协议版本往上调到TLS 1.2。3072这个数字对应的就是TLS 1.2，-bor是PowerShell里的按位或运算，等于在原有支持列表里追加TLS 1.2。

Chocolatey官网下载脚本走的是HTTPS，而Windows PowerShell 5.1在默认配置下，如果系统没有显式启用TLS 1.2，WebClient发起请求时可能仍然尝试用TLS 1.0或1.1去握手。现代服务器为了安全通常已经关闭了这些旧协议，于是请求直接失败，表现就是：

请求被中止: 未能创建 SSL/TLS 安全通道。

这个问题在Windows 7、Windows Server 2008 R2以及某些精简版Windows上尤其常见。Windows 10/Windows Server 2016以上的系统基本默认支持TLS 1.2，但如果你用的是旧系统，或者系统组件被第三方优化工具精简过，就很容易撞上。

1.3 真正干活的：install.ps1脚本与choco.exe落地过程

第三段才是整个安装的核心：iex ((New-Object System.Net.WebClient).DownloadString('https://community.chocolatey.org/install.ps1'))。它的意思是，用WebClient把install.ps1脚本内容下载下来，然后交给iex在当前进程执行。

这个脚本本身会做几件事：检测系统架构、确认PowerShell版本、检查是否已经安装过Chocolatey，然后到官方源下载Chocolatey的压缩包，解压到默认目录（通常是C:\ProgramData\chocolatey），最后把可执行文件路径写入系统PATH环境变量。

这个阶段最容易出问题的环节有两个：一是下载压缩包时网络中断或者被安全软件拦截，二是脚本写入PATH后当前窗口的环境变量没有刷新。前者会让你看到“无法连接远程服务器”或者下载超时，后者则是安装命令执行完没有报错，但新开一个PowerShell窗口输入choco依然提示“不是内部或外部命令”。

2. 高频报错速查：先看报错，再找根因

排错的第一步不是重装系统，而是先读懂报错。我把实际遇到过的Chocolatey安装报错按关键词整理成了一张速查表，你可以直接对照你的报错内容来定位。

2.1 按报错快速定位

报错信息是最直接的线索。比如你看到“禁止运行脚本”，那就别去折腾网络和杀毒软件，直接先看执行策略；看到“SSL/TLS安全通道”，先检查[Net.ServicePointManager]::Tls12是否生效；看到“无法解析此远程名称”，那就要看DNS能不能把community.chocolatey.org解析成正确的IP。

排错的优先级应该是：权限问题 > 执行策略 > 网络问题 > 系统组件缺失 > 安全软件干扰。不要一上来就把安装命令改来改去，那样只会让排查过程变得更乱。

2.2 两种很容易误判的报错情况

有一个被很多人误判的情况是：安装命令执行后没有任何输出，Windows窗口直接回到提示符，但输入choco -v却提示找不到命令。很多人以为安装失败了，其实可能脚本执行成功，但PATH没刷新。新开一个PowerShell窗口，或者手动刷新环境变量，可能就正常了。

还有一种误判是杀毒软件拦截。Windows Defender或其他安全软件可能把安装脚本识别为可疑活动，直接阻止WebClient下载或脚本执行。你可以打开安全中心的保护历史记录，如果发现install.ps1或者choco.exe被隔离，那就需要在安装过程中临时加入排除项，或者换企业版Chocolatey的离线部署方式。需要特别说明的是，这一步不是让你永久关闭安全软件，而是在安装完成后需要恢复保护，否则后续使用也会出问题。

3. 从报错到修复：完整排查链路

很多文章会直接告诉你“复制这几行命令就行”，但实际操作中你会发现，别人的解法套到你机器上可能完全无效。因为报错只是一个结果，根因可能完全不同。下面这条排查链路是我自己在处理机器时固定走的流程，每一步都有明确目的，避免瞎试。

3.1 环境自查：先别急着重装

第一步，确认当前PowerShell版本。执行：

$PSVersionTable.PSVersion

如果大版本低于5.1，建议先把Windows Management Framework升级到5.1，否则后面很多PowerShell功能都可能工作不正常。Chocolatey虽然理论上支持Windows PowerShell 2.0以上，但在老版本上运行脚本的兼容性坑比较多，没必要给自己找麻烦。

第二步，查看执行策略：

Get-ExecutionPolicy

如果返回结果是Restricted或AllSigned，并且你没有给当前进程做过Bypass，那优先解决这一步。建议直接以管理员身份重新打开PowerShell，执行：

Set-ExecutionPolicy Bypass -Scope Process -Force

第三步，检查TLS是否已经启用了1.2：

[Net.ServicePointManager]::SecurityProtocol

如果输出里没有Tls12这一项，手动启用：

[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072

这里多说一句，-bor 3072是在原有基础上追加，而不是重置，所以不会把系统其他协议能力搞丢。如果你是Windows 7，单纯在PowerShell里设置可能不够，还需要确认系统本身安装了相关更新补丁。补丁没装的话，协议栈压根不支持TLS 1.2，设置也会失效。

3.2 WebClient下载阶段失败怎么进一步定位

如果环境自查都没问题，但下载install.ps1这一步还是失败，那就需要区分是网络不通、DNS异常，还是被中间设备拦截。

先测连通性：

Test-NetConnection community.chocolatey.org -Port 443

如果TcpTestSucceeded返回False，说明TCP层面根本连不通。这时候要检查你本机的防火墙出站规则，以及是否在公司网络环境里需要通过HTTP代理才能访问外网。很多企业网络的策略是：所有出站流量必须走指定的代理服务器，PowerShell的WebClient默认不会自动读取系统的代理设置，这就导致本机能上网，但脚本下载失败。

如果你确认需要代理，可以在安装前先用这条命令设置当前进程的默认代理：

[System.Net.WebRequest]::DefaultWebProxy = New-Object System.Net.WebProxy("http://代理地址:端口")

如果TcpTestSucceeded是True但仍下载失败，再查DNS：

Resolve-DnsName community.chocolatey.org

确认解析出来的IP是否正常。如果DNS结果异常，可以先把DNS服务器换成公共DNS再测试，但这属于网络基础设施问题，建议联系你们管网络的人确认。另外，有些安全软件会拦截PowerShell的WebClient下载动作，即使浏览器访问同一个URL没问题，也不代表脚本下载不被拦截。

3.3 安装脚本执行阶段失败怎么进一步定位

如果你能看到脚本开始执行，比如屏幕上出现“Installing Chocolatey...”之类的字样，但中途报错退出，重点就要看日志了。Chocolatey安装脚本会在临时目录和C:\Windows\Temp\chocolatey\logs下留下详细日志，其中choco-install.log记录的是完整安装过程。

我自己排查时习惯这样定位：

Get-Content "C:\Windows\Temp\chocolatey\logs\choco-install.log" -Tail 100

日志里如果出现403 Forbidden，多半是安全软件拦截；出现404 Not Found，可能是你改过下载源，或者安装脚本版本与源站文件不同步；出现解压失败，则可能是下载的压缩包不完整，需要清理掉C:\ProgramData\chocolatey目录后重新安装。

这里要特别提醒：删掉C:\ProgramData\chocolatey目录之前，先确认这个机器上有没有已经通过Chocolatey安装的软件。如果没有就直接删，如果有，最好先用choco list导出已安装列表，否则重装后虽然软件还在，但Chocolatey的跟踪信息丢了，后面升级卸载都会出问题。

4. 重装与收尾：把环境恢复到干净状态

还有一种高频场景是：以前装过Chocolatey，但安装到一半失败了，或者旧版本残留导致新安装始终报错。这种残留问题比全新安装更麻烦，因为脚本检测到已有安装时会走升级逻辑，而残留的半成品状态经常让升级逻辑找不到入口。

4.1 卸载旧Chocolatey的标准步骤

官方并没有提供一个一键卸载命令，但手动清理的步骤相对固定。先把环境变量里和Chocolatey相关的条目记录下来，避免清理时误删其他配置：

[Environment]::GetEnvironmentVariable("ChocolateyInstall", "Machine") [Environment]::GetEnvironmentVariable("Path", "Machine")

默认安装目录是C:\ProgramData\chocolatey，如果你曾自定义过安装位置，以ChocolateyInstall环境变量的值为准。

清理步骤按顺序执行：

1. 删除C:\ProgramData\chocolatey整个目录（如果里面有.chocolatey子目录，一并删除）。
2. 在系统环境变量里删除ChocolateyInstall。
3. 在系统PATH里删掉C:\ProgramData\chocolatey\bin这一项。
4. 检查计划任务里是否有Chocolatey相关的任务，有则删除。
5. 重新打开一个PowerShell窗口，输入choco确认提示“不是内部或外部命令”。

这一套操作的前提是，你确定这台机器上的软件不再需要Chocolatey来管理。如果你只是想让现有软件继续可用，但不再用Chocolatey维护，那卸载后软件本体还在，只是升级和卸载无人管理了。

4.2 再次安装时的顺序与验证

清理干净后，我建议按这个顺序执行，每一步之间留出确认时间：

Set-ExecutionPolicy Bypass -Scope Process -Force [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072

执行完后，再单独下载并执行官方脚本：

iex ((New-Object System.Net.WebClient).DownloadString('https://community.chocolatey.org/install.ps1'))

如果这条命令顺利跑完，先不要急着关窗口，验证一下PATH是否已经生效。新开一个PowerShell窗口，输入：

choco -v

如果显示版本号，说明安装成功。如果还是提示找不到命令，但目录里的choco.exe确实存在，说明当前窗口没读到新的PATH，执行：

$env:Path = [Environment]::GetEnvironmentVariable("Path", "Machine") + ";" + [Environment]::GetEnvironmentVariable("Path", "User")

然后再次运行choco -v。这一步能解决90%的“装完但命令不可用”问题。

4.3 给团队或新机器的安装建议

如果你不是给自己的一台机器装Chocolatey，而是要在公司内部批量初始化开发机，不建议每台机器都临时去下载官方脚本。更好的做法是在一台干净的机器上手动安装成功后，把C:\ProgramData\chocolatey目录整体打包，配合一个内网安装脚本分发到其他机器。

原因很简单：官方安装脚本每次都会去远程拉取最新版本，批量操作时如果网络波动或者源站响应变慢，中途失败的概率会明显上升。离线安装包则可以完全绕过这些依赖。离线部署时需要保证分发出去的文件SHA256校验一致，同时每台机器仍然需要提前确认PowerShell执行策略。

5. 装好之后还会遇到的几个坑：命令失效与代理配置

安装成功不代表万事大吉。根据我自己的经验，装完之后最容易踩的坑还有三个。

5.1 choco不是内部或外部命令

这个问题上面提过，典型的PATH刷新问题。除了手动刷新，还需要注意另一种可能性：安装脚本执行完后，如果当前PowerShell是以管理员身份运行的，那么PATH写入的是系统级变量。普通用户再开一个PowerShell窗口时，默认会继承系统PATH和用户PATH，通常不会丢。

但如果你的环境里用户级PATH覆盖了系统级PATH，或者有第三方终端工具缓存了旧的环境变量，就会看到choco命令间歇性不可用。遇到这种情况，先检查新开的终端里$env:Path是否包含C:\ProgramData\chocolatey\bin，如果没有，就查系统环境变量里的PATH是否真的写入了。注意PowerShell有时显示乱码，重要内容用-LiteralPath或者Get-ChildItem Env:Path查看原始值。

5.2 choco install慢或超时，怎么配置代理

安装之后，日常使用最常遇到的问题反而是choco install某个包时下载特别慢，甚至超时。这通常不是Chocolatey本身的问题，而是你的网络到软件下载源之间的连接状况不好。

Chocolatey支持配置代理，命令是：

choco config set --name="proxy" --value="http://代理地址:端口" choco config set --name="proxyBypassOnLocal" --value=true

配置代理后，所有通过Chocolatey发起的下载请求都会走这个代理。如果你不想全局配置，也可以用环境变量的方式临时指定：

$env:chocolateyProxyLocation = "http://代理地址:端口" $env:chocolateyProxyBypassOnLocal = "true"

这个设置只对当前进程生效，适合临时调试。另外，Chocolatey还有开启并行下载的选项，在较新版本里可以通过choco feature enable -n=useBackgroundService让下载任务放后台执行，避免一个软件包下载卡住后续所有操作。

5.3 给非管理员用户使用choco的注意事项

最后一个坑是关于权限模型的。Chocolatey大部分安装操作都需要管理员权限，因为软件包通常要写Program Files或者系统目录。如果你想让普通用户在某些机器上用choco安装软件，默认会失败。

官方对这种情况有明确建议：要么给用户分配适当的权限，要么使用配置方式限制可用源和策略。最简单的落地方式是做一个带管理员权限的计划任务或者包装脚本，普通用户只允许运行预先批准的那几个安装命令，而不是把所有权限都放开。我见过不少人在开发测试环境直接关了UAC，这种做法在个人机器上尚且冒险，在团队环境里更不建议。

最后再分享一个排查小习惯

我处理Chocolatey安装报错次数多了以后，养成了一个习惯：安装之前先跑一遍环境检查，把PowerShell版本、执行策略、TLS协议、网络连通性四个结果一次性打印出来，确认没问题再执行安装脚本。这样可以把大部分环境类问题在前置步骤就暴露出来，而不是等脚本跑到一半才报错。

Write-Host "PSVersion: $($PSVersionTable.PSVersion)" Write-Host "ExecutionPolicy: $(Get-ExecutionPolicy)" Write-Host "TLS: $([Net.ServicePointManager]::SecurityProtocol)" Test-NetConnection community.chocolatey.org -Port 443 | Select-Object ComputerName, RemoteAddress, TcpTestSucceeded

一条命令把所有关键信息打出来，一眼就能看出卡在哪。如果你现在正卡在某个安装报错上，先把这段跑一遍，再对照前面的速查表定位，基本不用走弯路。Chocolatey本身是个挺皮实的工具，大部分安装失败都不是它的问题，而是安装链条周围的环境问题。把这一步摸透了，后续用choco批量装软件、做环境初始化才能省下真正的时间。