如何用CMPivot查询注册表键避免生成重复列？

当你用CMPivot查询多个注册表键时，相同列名被自动加后缀（比如Value1），是因为用了join或多次执行Registry命令导致列合并冲突。正确的做法是用union合并结果集，而非join：

正确查询示例 #

假设要查询两个Run键的内容，直接用union将两个查询结果合并：

Registry(@"HKLM\Software\Microsoft\Windows\CurrentVersion\Run")
| union Registry(@"HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run")
| project Computer, Key, ValueName, ValueData

为什么之前的方法无效？ #

• join是用来关联不同结果集的行（比如按Computer字段匹配），会保留两个结果的所有列，同名列只能加后缀区分，这不是你需要的合并行效果。
• 连续执行Registry命令本质是多个结果集独立展示，或被自动合并为多列，不符合需求。

额外优化 #

如果结果存在重复条目，可添加distinct去重：

Registry(@"HKLM\Software\Microsoft\Windows\CurrentVersion\Run")
| union Registry(@"HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run")
| distinct Computer, Key, ValueName, ValueData
| project Computer, Key, ValueName, ValueData

如果是查询同一个注册表键下的多个值，直接执行一次Registry命令就能返回该键下的所有值条目，无需额外合并。

内容的提问来源于stack exchange，提问作者Noemie