2.4 KiB
2026-09-15 更新：当前监听运行在
logs/wecom_process_monitor/2026-09-15-startup。下文根目录记录属于昨晚已结束的一轮。今天的状态、结论和正确停止命令见 续查报告。
企业微信进程监听
已启动只读后台监听，每 0.5 秒采样一次，当前这一轮最长运行两小时。以 logs/wecom_process_monitor/status.json 的 startedAt 和 durationSeconds 为准。状态时间使用 UTC；北京时间为 UTC+8。
观察范围：企业微信主程序及其子进程、官方代理和 IronBox 程序、相关模块名称、TCP/UDP 端点和连接状态变化。仅通过 Windows 进程元数据和网络表查询，未读取进程内存、命令行参数、环境变量、通道密钥或聊天内容，未注入代码、未发送探测包或客户消息。
当前账号不能订阅 WMI ProcessTrace（拒绝访问），因此采用快照采样。生命周期短于采样间隔的进程、模块和网络连接可能漏掉。启动时已有的进程标为 process_observed，随后观察到的新进程才标为 process_started。模块或网络表查询失败会单独报告，不将查询失败当成已关闭。
查看记录
- 实时状态：
C:\wechat_rpa\logs\wecom_process_monitor\status.json - 最新快照：
C:\wechat_rpa\logs\wecom_process_monitor\snapshot.json - 变化日志：
C:\wechat_rpa\logs\wecom_process_monitor\events.jsonl - 错误输出：
C:\wechat_rpa\logs\wecom_process_monitor\monitor.stderr.log
事件日志超过 4 MiB 时轮转，保留当前文件和上一份。监听器有输出目录互斥保护，重复启动不会产生第二个记录器。停止只向该轮监听器写入停止请求，不会终止企业微信。
手动停止
在 PowerShell 执行：
& 'C:\Users\isard\AppData\Local\Programs\Python\Python311\python.exe' 'C:\wechat_rpa\wxwork_process_monitor.py' --stop
验证与能力边界
已通过 6 项针对进程 PID 复用、连接状态变化、日志轮转、Windows 文件占用的测试，并实测后台启动、重复启动保护和正常停止。当前运行状态可在上述状态文件查看。
这项监听用于寻找官方代理正常启动和端口变化的证据，不等于协议登录或原账号发送已经验证。协议自动回复仍未启用。本轮没有执行此前被拒绝的密钥读取/子进程注入测试，也未重新打包 EXE。