EvtSubscribe拉取订阅时waitForMultipleObjects停止返回信号求助

1. 使用自动重置事件作为等待句柄（核心原因） #

拉取订阅要求传入的等待事件必须是手动重置事件。如果使用自动重置事件，第一次WaitForMultipleObjects返回后事件会被自动重置，此时队列中若仍有未处理的事件，系统不会再次触发信号，导致后续等待永久阻塞。

解决方法：创建等待事件时指定手动重置：

// 替换原事件创建代码
aWaitHandles[1] = CreateEventW(NULL, TRUE, FALSE, NULL);
if (aWaitHandles[1] == NULL) {
    // 处理创建失败错误
    return GetLastError();
}

2. 事件处理不及时导致队列溢出 #

当日志流量过高时，若每次仅拉取单个事件（EvtNext每次取1个），会导致事件队列积压，达到上限后系统停止触发等待信号，甚至丢弃事件。

解决方法：批量拉取事件，减少系统触发信号的频率，避免队列溢出：

// 在处理信号时，批量拉取最多1000个事件
EVT_HANDLE hEvents[1000];
DWORD dwReturned;
while (EvtNext(hSubscription, ARRAYSIZE(hEvents), hEvents, INFINITE, 0, &dwReturned)) {
    for (DWORD i = 0; i < dwReturned; i++) {
        // 处理单个事件（如渲染为XML）
        WCHAR wszXmlBuffer[4096];
        DWORD dwBufferSize = ARRAYSIZE(wszXmlBuffer);
        if (EvtRender(NULL, hEvents[i], EvtRenderEventXml, dwBufferSize, wszXmlBuffer, &dwBufferSize, NULL)) {
            wprintf(L"%s\n", wszXmlBuffer);
        }
        // 务必关闭事件句柄，避免资源泄漏
        EvtClose(hEvents[i]);
    }
}

3. 无限等待导致阻塞 #

若WaitForMultipleObjects使用INFINITE超时，当队列溢出或事件信号异常时，线程会永久阻塞。

解决方法：设置合理的超时时间（如5秒），超时后主动检查事件队列，同时处理潜在错误：

// 替换原无限等待为带超时的等待
dwWaitResult = WaitForMultipleObjects(2, aWaitHandles, FALSE, 5000); // 5秒超时

switch (dwWaitResult) {
    case WAIT_TIMEOUT:
        // 超时后主动检查是否有事件
        EVT_HANDLE hTimeoutEvents[100];
        DWORD dwTimeoutReturned;
        if (EvtNext(hSubscription, ARRAYSIZE(hTimeoutEvents), hTimeoutEvents, 0, 0, &dwTimeoutReturned)) {
            // 处理超时期间产生的事件
            for (DWORD i = 0; i < dwTimeoutReturned; i++) {
                // 事件处理逻辑
                EvtClose(hTimeoutEvents[i]);
            }
        }
        break;
    // 其他case处理...
}

4. 未正确处理错误与订阅重置 #

当EvtNext返回非ERROR_NO_MORE_ITEMS的错误时（如订阅失效、系统资源不足），需及时重置订阅，避免永久阻塞。

解决方法：捕获EvtNext的错误码，必要时重新创建订阅：

DWORD dwError = GetLastError();
if (dwError != ERROR_NO_MORE_ITEMS) {
    wprintf(L"EvtNext failed with error %lu\n", dwError);
    // 关闭旧订阅句柄
    EvtClose(hSubscription);
    // 重新创建订阅
    hSubscription = EvtSubscribe(NULL, aWaitHandles[1], L"Application", L"*", NULL, NULL, NULL, EvtSubscribeStartAtOldestRecord);
    if (hSubscription == NULL) {
        wprintf(L"EvtSubscribe failed with error %lu\n", GetLastError());
        break; // 或处理重启逻辑
    }
}

内容的提问来源于stack exchange，提问作者Ajay Adithya