如何使用 WMI 脚本监控 Windows 服务状态变化-windows运维-PHP中文网

直接用wmi事件订阅机制可实时捕获服务状态变化，核心是监听__instancemodificationevent并限定targetinstance isa 'win32_service'，通过targetinstance.state != previousinstance.state精准触发真实启停事件。

直接用 wmi 事件订阅机制就能实时捕获服务状态变化，不需要轮询或定时脚本。核心是监听 __instancemodificationevent，并限定目标为 win32_service 类，同时过滤 state 属性的变更。

基础事件查询语法

WMI 事件查询使用 WQL（WMI Query Language），不是普通 SELECT 查询。监控服务启停的关键语句结构如下：

SELECT * FROM __InstanceModificationEvent WITHIN 5 WHERE TargetInstance ISA "Win32_Service" AND TargetInstance.State != PreviousInstance.State

其中：
— WITHIN 5 表示每 5 秒检测一次变化（可调，建议 2–10 秒）
— TargetInstance ISA "Win32_Service" 锁定服务类实例
— TargetInstance.State != PreviousInstance.State 确保只触发真实的状态变更（如 Running ↔ Stopped），排除无意义刷新

PowerShell 实现方式

用 Register-WmiEvent 创建持久化事件订阅，配合 Action 脚本响应：

Windows 日历同步

将提醒同步至 Windows/Outlook 日历。用户提及「提醒我」「设置提醒」「加到日历」「同步到日历」「日程」「calendar」「日历」时触发。支持Microsoft Graph API 设备代码流认证，无需 Web 服务器，直接写入用户 Outlook 日历。

下载

运行以下命令即可监听并打印变更详情：

Register-WmiEvent -Query "SELECT * FROM __InstanceModificationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_Service' AND TargetInstance.State != PreviousInstance.State" -SourceIdentifier "ServiceStateChange" -Action {
$event = $event.SourceEventArgs.NewEvent
$svc = $event.TargetInstance
Write-Host "$(Get-Date): Service '$($svc.Name)' changed to '$($svc.State)'" -ForegroundColor Green
}

后续可用 Unregister-Event -SourceIdentifier ServiceStateChange 停止监听
若需长期运行，建议将 Action 内容写入独立 .ps1 文件，并在 -Action 中调用，便于日志记录与错误处理

精准过滤特定服务或状态

不必监听全部服务，可通过 WHERE 条件缩小范围：

只关注某服务（例如 Spooler）：
... WHERE TargetInstance ISA 'Win32_Service' AND TargetInstance.Name = 'Spooler' AND TargetInstance.State != PreviousInstance.State
只捕获“启动成功”事件：
... AND TargetInstance.State = 'Running' AND PreviousInstance.State = 'Stopped'
只捕获“意外停止”（非手动停止）：
可结合 StartMode 和 State 判断，例如 TargetInstance.StartMode = 'Auto' AND TargetInstance.State = 'Stopped'