正如你所注意到的，字符串索引签名并不能阻止非string键的存在（这只意味着任何存在的string键都需要具有与索引签名兼容的属性，这对于Record<string, any>来说是非常宽松的）。即使U没有特定的属性键，这并不意味着T不能拥有该键。本质上，TypeScript中的对象类型是 open 而不是 exact（如microsoft/TypeScript#12936中所要求的），并且在大多数情况下，编译器不会禁止多余的属性。
这意味着你可以像这样调用one：

const sym = Symbol();
const a = { str: 1, [sym]: 2 }
const fn = one(a); // okay
fn("str"); // okay
fn(sym); // okay

这就是为什么one的实现抱怨b可能不是string。
如果你想防止这种情况，你需要将K约束为不仅仅是keyof T，而是keyof T的子类型，也可以分配给string。最简单的表达方法是将string与keyof T相交：

function one<T extends Record<string, any>>(a: T) {
    return <K extends string & keyof T>(b: K) => {
        exec(b); // okay
    };
}

现在编译器知道b必须是keyof T以及string。现在如果你试图用非string输入调用从one返回的函数，你会得到想要的错误：

const sym = Symbol();
const a = { str: 1, [sym]: 2 }
const fn = one(a); // okay
fn("str"); // okay
fn(sym); // error

Playground链接到代码