用 winget + PowerShell 自动化 PC 装机 ── 让操作手册可执行

# 准确指定 ID 安装（-e 是精确匹配，--id 是指定 ID）
#   --silent                     : 不显示 UI
#   --accept-package-agreements  : 同意软件包的使用条款
#   --accept-source-agreements   : 同意源的使用条款
#   --scope machine              : 面向所有用户安装（仅限支持的软件包）
# 换行续行的反引号要放在行尾。如果后面还写注释，就不会被当作续行
winget install --id Google.Chrome -e --silent `
    --accept-package-agreements --accept-source-agreements --scope machine

# 查询 ID
winget search "Visual Studio Code"
winget show --id Microsoft.VisualStudioCode

# 确认是否存在机器范围的安装程序
winget show --id Google.Chrome -e --scope machine

# 为了比较，也顺便看一下用户范围一侧
winget show --id Google.Chrome -e --scope user

# 从标准电脑，把已安装软件包的列表写出到 JSON
winget export --output D:\kitting\apps.json --include-versions

# 在新电脑上还原
winget import --import-file D:\kitting\apps.json `
    --accept-package-agreements --accept-source-agreements --ignore-unavailable

# 应用前先确认内容（显示将要执行的操作）
winget configure show --file D:\kitting\kitting.winget

# 应用配置
winget configure --file D:\kitting\kitting.winget --accept-configuration-agreements

#Requires -RunAsAdministrator
[CmdletBinding()]
param(
    [string] $ConfigPath = "$PSScriptRoot\kitting.config.json"
)

$ErrorActionPreference = 'Stop'
# 5.1 中的 Get-Content 在没有 BOM 时，会用 ANSI 代码页读取。
# 在日语环境中读取 UTF-8 的 JSON 会出现乱码，因此这里明确指定编码
$config = Get-Content $ConfigPath -Raw -Encoding utf8 | ConvertFrom-Json
$rebootRequired  = $false
$rebootInitiated = $false
$log    = "C:\ProgramData\KsKitting\kitting_$(Get-Date -f yyyyMMdd_HHmmss).log"
$null   = New-Item -Path (Split-Path $log) -ItemType Directory -Force

# 后文的用户单位阶段运行在另一个进程中，因此需要先把配置
# 分发到所有用户都能读取的位置。
# 如果直接在这个位置放置分发物并原样执行，复制源与复制目标就会是同一个文件。
# Copy-Item 会把复制到自身当作错误处理，因此在 $ErrorActionPreference = 'Stop'
# 之下，会导致脚本在装机开始之前就整体中止
$sharedConfig = 'C:\ProgramData\KsKitting\kitting.config.json'
$sourceFull   = (Resolve-Path $ConfigPath).ProviderPath
$sharedFull   = if (Test-Path $sharedConfig) { (Resolve-Path $sharedConfig).ProviderPath } else { '' }
if (-not [string]::Equals($sourceFull, $sharedFull, 'OrdinalIgnoreCase')) {
    Copy-Item $ConfigPath $sharedConfig -Force
}
Start-Transcript -Path $log -Append

try {
    # --- 1. 标准文件夹 ------------------------------------------------
    foreach ($dir in $config.folders) {
        if (-not (Test-Path $dir)) {
            $null = New-Item -Path $dir -ItemType Directory
            Write-Verbose "创建: $dir"
        }
    }

    # --- 2. 公司内部标准的注册表设置 --------------------------------------
    foreach ($reg in $config.registry) {
        if (-not (Test-Path $reg.key)) { $null = New-Item -Path $reg.key -Force }
        $item   = Get-Item -Path $reg.key
        $exists = $item.GetValueNames() -contains $reg.name

        # 不仅比较值，还要比较「类型」。REG_SZ 的 "1" 和 DWORD 的 1
        # 在 PowerShell 的比较中会被视为相等，从而把实际并未生效的设置
        # 误判为「已应用」
        $sameValue = $exists -and $item.GetValue($reg.name) -eq $reg.value
        $sameKind  = $exists -and $item.GetValueKind($reg.name).ToString() -eq $reg.type

        if (-not ($sameValue -and $sameKind)) {
            Set-ItemProperty -Path $reg.key -Name $reg.name -Value $reg.value -Type $reg.type
            Write-Verbose "设置: $($reg.key)\$($reg.name) = $($reg.value) ($($reg.type))"
        }
    }

    # --- 3. Windows 功能 --------------------------------------------------
    foreach ($feature in $config.windowsFeatures) {
        $state = Get-WindowsOptionalFeature -Online -FeatureName $feature
        if ($state.State -ne 'Enabled') {
            # 用 -NoRestart 抑制重启时，是否需要重启会体现在返回值的 RestartNeeded 中。
            # 不获取这个值的话，就会出现「明明需要重启却以 0 结束」的情况
            $result = Enable-WindowsOptionalFeature -Online -FeatureName $feature -NoRestart
            if ($result.RestartNeeded) { $rebootRequired = $true }
        }
    }

    # --- 4. winget 软件包 ----------------------------------------------
    # winget 的退出代码即使在「已经安装过」的情况下也可能不是 0，
    # 反过来即使是 0 也可能实际并未安装。成败要通过状态查询来判断。
    # 如果不加 --scope，就会误把管理员自己按用户单位安装的结果，
    # 判定为「已按 machine 安装」
    function Test-KsWingetPackage {
        param([string] $Id, [string] $Scope)
        $arguments = @('list', '--id', $Id, '--exact', '--accept-source-agreements')
        if ($Scope) { $arguments += @('--scope', $Scope) }
        $null = winget @arguments 2>&1
        return ($LASTEXITCODE -eq 0)
    }

    foreach ($package in $config.wingetPackages) {
        if (Test-KsWingetPackage -Id $package.id -Scope $package.scope) { continue }

        # 换行续行的反引号要放在行尾。如果后面还写注释，就不会被当作续行
        winget install --id $package.id -e --silent `
            --accept-package-agreements --accept-source-agreements `
            --scope $package.scope
        $wingetExit = $LASTEXITCODE

        # 如果这里只显示警告就继续往下执行，分发工具就会把未安装
        # 必需应用的设备记录为「装机成功」
        if (-not (Test-KsWingetPackage -Id $package.id -Scope $package.scope)) {
            throw "$($package.id) 安装失败 (winget ExitCode=$wingetExit)"
        }
    }

    # --- 5. 内部应用（对共享文件夹中的安装程序执行静默安装） ----
    # 已安装列表要明确打开 32bit/64bit 两种视图。
    # 如果 32bit 的 PowerShell 在 64bit Windows 上运行（视 Intune 的配置而定，会发生这种情况），
    # WOW64 重定向会让 HKLM:\SOFTWARE\... 指向 32bit 视图，
    # 从而把 64bit 的应用误判为「未安装」，每次都重新安装一遍
    $installedApps = foreach ($view in 'Registry64', 'Registry32') {
        $baseKey = [Microsoft.Win32.RegistryKey]::OpenBaseKey('LocalMachine', $view)
        try {
            $uninstall = $baseKey.OpenSubKey('SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall')
            if (-not $uninstall) { continue }
            try {
                foreach ($name in $uninstall.GetSubKeyNames()) {
                    $appKey = $uninstall.OpenSubKey($name)
                    if (-not $appKey) { continue }
                    try {
                        $displayName = $appKey.GetValue('DisplayName')
                        if ($displayName) {
                            [pscustomobject]@{
                                DisplayName    = [string] $displayName
                                DisplayVersion = [string] $appKey.GetValue('DisplayVersion')
                            }
                        }
                    }
                    finally { $appKey.Dispose() }
                }
            }
            finally { $uninstall.Dispose() }
        }
        finally { $baseKey.Dispose() }
    }

    foreach ($app in $config.internalApps) {
        $installed = $installedApps | Where-Object DisplayName -eq $app.displayName

        # 不能仅凭 DisplayName 一致就判断为「已安装」。否则旧版本仍留在设备上时，
        # 新版本就无法安装，即使重新执行也无法收敛到配置文件所描述的状态。
        # 如果配置中有 version，则进一步确认是否安装了该版本及以上
        $upToDate = if ($app.version) {
            $wanted = [version] $app.version
            [bool]($installed | Where-Object {
                $cur = $_.DisplayVersion -as [version]   # 非版本号格式的写法不在处理范围内
                $cur -and $cur -ge $wanted
            })
        } else {
            [bool] $installed
        }
        if ($upToDate) { continue }

        # Start-Process 的 -ArgumentList 只是把数组用空格连接成一行命令，
        # 因此含有空格的值要在配置文件一侧预先加上引号
        # 例: '/quiet /norestart INSTALLDIR="C:\Program Files\KsApp"'
        # .msi 不是可执行文件，如果原样传给 Start-Process，
        # 就会因「不是有效的应用程序」而失败。要通过 msiexec 启动
        if ([System.IO.Path]::GetExtension($app.installer) -eq '.msi') {
            $msiArgs = @('/i', "`"$($app.installer)`"") + $app.arguments
            $proc = Start-Process -FilePath 'msiexec.exe' -ArgumentList $msiArgs -Wait -PassThru -NoNewWindow
        }
        else {
            $proc = Start-Process -FilePath $app.installer -ArgumentList $app.arguments -Wait -PassThru -NoNewWindow
        }
        # Windows Installer 的退出代码并非「只有 0 才算成功」。
        # 3010 和 1641 都是成功，只是重启的处理方式不同
        switch ($proc.ExitCode) {
            0    { }                                   # 成功
            3010 { $rebootRequired = $true }           # 成功。需要重启（ERROR_SUCCESS_REBOOT_REQUIRED）
            1641 { $rebootInitiated = $true }          # 成功。安装程序已开始重启
            default {
                throw "$($app.displayName) 安装失败 (ExitCode=$($proc.ExitCode))"
            }
        }
        # 如果重启已经开始，即使继续执行后续安装也会被中断
        if ($rebootInitiated) { break }
    }

    if ($rebootInitiated) {
        # 1641 表示「成功。但已开始重启」。如果返回 0，分发工具就会
        # 认为「明明完成了却擅自重启了」，因此要原样传达
        Write-Host '安装程序已开始重启。请在重启后重新执行' -ForegroundColor Yellow
        exit 1641
    }

    if ($rebootRequired) {
        # 原样返回 3010，Intune 或分发工具就会解释为「成功。需要重启」，
        # 从而能够安排并报告重启。这里返回 0 的话，重启就会被遗忘
        Write-Host '装机完成（需要重启）' -ForegroundColor Yellow
        exit 3010
    }

    Write-Host '装机完成' -ForegroundColor Green
    exit 0
}
catch {
    Write-Warning "失败: $($_.Exception.Message)"
    Write-Warning $_.InvocationInfo.PositionMessage
    exit 1
}
finally {
    Stop-Transcript
}

# 用户单位的设置（以非提升权限，在用户登录时执行。注册方法见后文）

# 因为与管理员脚本是不同的进程，$config 不会被继承下来。
# 重新读取管理员阶段已分发到 ProgramData 的配置
$configPath = 'C:\ProgramData\KsKitting\kitting.config.json'
if (-not (Test-Path $configPath)) {
    Write-Warning "未找到配置文件: $configPath"
    exit 1
}
$config = Get-Content $configPath -Raw -Encoding utf8 | ConvertFrom-Json

# 用户单位的注册表设置（如 HideFileExt 等。写入 HKLM 不会生效）
foreach ($reg in $config.userRegistry) {
    if (-not (Test-Path $reg.key)) { $null = New-Item -Path $reg.key -Force }

    $item   = Get-Item -Path $reg.key
    $exists = $item.GetValueNames() -contains $reg.name
    $same   = $exists -and
              $item.GetValue($reg.name) -eq $reg.value -and
              $item.GetValueKind($reg.name).ToString() -eq $reg.type

    if (-not $same) {
        Set-ItemProperty -Path $reg.key -Name $reg.name -Value $reg.value -Type $reg.type
    }
}

# 网络驱动器
foreach ($drive in $config.drives) {
    $local    = "$($drive.letter):"
    $existing = Get-SmbMapping -LocalPath $local -ErrorAction SilentlyContinue
    if ($existing) {
        # 如果只根据「是否存在分配」来判断，那么即使因共享迁移等原因变更了设置，
        # 也会在残留旧分配的情况下被报告为「成功」。因此要连接目标也一并比较
        if ($existing.RemotePath.TrimEnd('\') -eq $drive.path.TrimEnd('\')) { continue }
        Remove-SmbMapping -LocalPath $local -Force
    }
    New-SmbMapping -LocalPath $local -RemotePath $drive.path -Persistent $true
}

# 共享打印机的连接同样是按用户单位。如果以管理员或 SYSTEM 执行，
# 就只会在该账户下建立连接，用户是看不到的
foreach ($printer in $config.printers) {
    if (-not (Get-Printer -Name $printer.name -ErrorAction SilentlyContinue)) {
        Add-Printer -ConnectionName $printer.connection
    }
}

# 把用户阶段的脚本，放到所有用户都能读取的位置
$userScript = 'C:\ProgramData\KsKitting\Invoke-KsUserKitting.ps1'
Copy-Item "$PSScriptRoot\Invoke-KsUserKitting.ps1" $userScript -Force

# HKLM 的 Run 会以登录用户的权限（非提升权限）执行。
# 即使试图写入 HKCU，由于当前是以管理员/SYSTEM 身份运行，写入的
# 也会是「管理员自身的 HKCU」，而不是接下来要使用该设备的员工的 HKCU
$runKey  = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run'
$command = 'powershell.exe -NoProfile -ExecutionPolicy Bypass ' +
           "-WindowStyle Hidden -File `"$userScript`""
Set-ItemProperty -Path $runKey -Name 'KsUserKitting' -Value $command

# 部署到所有用户都能读取的位置（与方法 1 相同）
$userScript = 'C:\ProgramData\KsKitting\Invoke-KsUserKitting.ps1'
New-Item -ItemType Directory -Path (Split-Path $userScript) -Force | Out-Null
Copy-Item -Path '.\Invoke-KsUserKitting.ps1' -Destination $userScript -Force

$action = New-ScheduledTaskAction -Execute 'powershell.exe' `
    -Argument "-NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File `"$userScript`""

$trigger = New-ScheduledTaskTrigger -AtLogOn

# 指定 BUILTIN\Users(S-1-5-32-545)，就会以登录本人的权限执行。
# RunLevel Limited 就是「不提升权限」的指定。如果把这里改成 Highest，
# 就会在提升权限的会话中运行，导致用户看不到驱动器分配
$principal = New-ScheduledTaskPrincipal -GroupId 'S-1-5-32-545' -RunLevel Limited

Register-ScheduledTask -TaskName 'KsUserKitting' `
    -Action $action -Trigger $trigger -Principal $principal -Force

Install-Module -Name Microsoft.WinGet.Client -Scope AllUsers -Force

# 先确认是否已安装，再进行安装（幂等）
foreach ($id in 'Google.Chrome', 'Microsoft.VisualStudioCode', '7zip.7zip') {
    if (Get-WinGetPackage -Id $id -ErrorAction SilentlyContinue) {
        Write-Verbose "已安装: $id"
        continue
    }
    Install-WinGetPackage -Id $id -Mode Silent -Scope System
}

# 语法解析 + 静态分析（在非 Windows 环境下也能执行）
./Invoke-SampleTests.ps1