为何WMI Win32_Process的CommandLine属性仅对部分其他用户进程为空？

核心原因：Windows进程权限与会话隔离机制 #

你遇到的现象本质是Windows对进程访问的权限控制和会话隔离导致的，具体规则如下：

• 进程权限令牌匹配要求
  读取Win32_Process的CommandLine属性，需要当前程序拥有目标进程的PROCESS_QUERY_LIMITED_INFORMATION权限。即使是同一用户启动的进程，当你的程序以其他用户身份运行时，目标进程的安全描述符默认不会向该用户开放这个权限——只有部分进程（比如程序主进程、当前活跃会话关联的进程）的安全配置允许跨用户/跨会话查询。

• 会话隔离限制
  Windows的终端服务会话（比如快速用户切换、远程桌面会话）会隔离不同会话内的进程。当你以其他用户身份运行程序时，默认只能访问当前会话内的进程；非当前会话的同用户进程，会因为会话隔离被限制访问，导致CommandLine返回NULL。

对应你的测试案例解释 #

1. explorer.exe实例
   当你以edsep身份运行时，所有同用户的explorer进程都属于你的会话（或你的用户令牌有权访问所有会话实例），所以能正常获取命令行。以其他用户身份运行时，只有当前活跃会话对应的那个explorer实例允许跨用户访问，其他非活跃会话的实例被会话隔离，因此返回NULL。

2. Chrome进程
   Chrome的进程架构分为主进程（负责窗口管理、用户交互）和多个沙箱进程（负责网页渲染，运行在低完整性级别）。主进程的安全配置相对宽松，允许部分跨用户查询；而沙箱进程为了安全，严格限制了其他用户的访问权限，所以你只能拿到3个主进程的CommandLine，其余沙箱进程返回NULL。

验证方法 #

• 可以通过Win32_Process的SessionId属性，对比能获取命令行的进程和当前程序的会话ID，会发现它们通常属于同一个会话。
• 用Process Explorer查看目标进程的安全属性，检查当前运行程序的用户是否拥有QUERY_LIMITED_INFORMATION权限。

内容的提问来源于stack exchange，提问作者Master_T