> 2026-09-15 更新：当前监听运行在 `logs/wecom_process_monitor/2026-09-15-startup`。下文根目录记录属于昨晚已结束的一轮。今天的状态、结论和正确停止命令见 [续查报告](C:/wechat_rpa/WECOM_PROCESS_OBSERVATION_20260915.md)。

# 企业微信进程监听

已启动只读后台监听，每 0.5 秒采样一次，当前这一轮最长运行两小时。以 `logs/wecom_process_monitor/status.json` 的 `startedAt` 和 `durationSeconds` 为准。状态时间使用 UTC；北京时间为 UTC+8。

观察范围：企业微信主程序及其子进程、官方代理和 IronBox 程序、相关模块名称、TCP/UDP 端点和连接状态变化。仅通过 Windows 进程元数据和网络表查询，未读取进程内存、命令行参数、环境变量、通道密钥或聊天内容，未注入代码、未发送探测包或客户消息。

当前账号不能订阅 WMI ProcessTrace（拒绝访问），因此采用快照采样。生命周期短于采样间隔的进程、模块和网络连接可能漏掉。启动时已有的进程标为 `process_observed`，随后观察到的新进程才标为 `process_started`。模块或网络表查询失败会单独报告，不将查询失败当成已关闭。

## 查看记录

- 实时状态：`C:\wechat_rpa\logs\wecom_process_monitor\status.json`
- 最新快照：`C:\wechat_rpa\logs\wecom_process_monitor\snapshot.json`
- 变化日志：`C:\wechat_rpa\logs\wecom_process_monitor\events.jsonl`
- 错误输出：`C:\wechat_rpa\logs\wecom_process_monitor\monitor.stderr.log`

事件日志超过 4 MiB 时轮转，保留当前文件和上一份。监听器有输出目录互斥保护，重复启动不会产生第二个记录器。停止只向该轮监听器写入停止请求，不会终止企业微信。

## 手动停止

在 PowerShell 执行：

```powershell
& 'C:\Users\isard\AppData\Local\Programs\Python\Python311\python.exe' 'C:\wechat_rpa\wxwork_process_monitor.py' --stop
```

## 验证与能力边界

已通过 6 项针对进程 PID 复用、连接状态变化、日志轮转、Windows 文件占用的测试，并实测后台启动、重复启动保护和正常停止。当前运行状态可在上述状态文件查看。

这项监听用于寻找官方代理正常启动和端口变化的证据，不等于协议登录或原账号发送已经验证。协议自动回复仍未启用。本轮没有执行此前被拒绝的密钥读取/子进程注入测试，也未重新打包 EXE。