如何用PowerShell监控注册表值变更？以壁纸注册表项为例

原代码的核心问题 #

• 错误创建RegistryKey对象：直接通过New-Object传入注册表路径字符串无法正确打开目标项，必须通过[Microsoft.Win32.Registry]类的静态方法操作。
• 不存在ValueChanged事件：Microsoft.Win32.RegistryKey并没有名为ValueChanged的内置事件，因此Register-ObjectEvent会直接失效。

正确实现方案 #

方案一：循环式同步监控（简单直观） #

通过WaitForChanged方法阻塞等待注册表变更，适合轻量场景：

$registrySubPath = "Control Panel\Desktop"
$targetValueName = "Wallpaper"

$nodeExePath = "C:\path\to\node.exe"
$nodeScriptPath = "C:\path\to\index.js"

# 打开HKCU下的目标注册表项（$true表示允许修改，确保能捕获变更事件）
$regKey = [Microsoft.Win32.Registry]::CurrentUser.OpenSubKey($registrySubPath, $true)
$currentValue = $regKey.GetValue($targetValueName)

try {
    while ($true) {
        # 无限等待注册表值变更事件
        $changeResult = $regKey.WaitForChanged([Microsoft.Win32.RegistryChangeNotificationFilters]::Value, -1)
        
        $newValue = $regKey.GetValue($targetValueName)
        # 过滤重复触发（系统可能多次写入相同值）
        if ($newValue -ne $currentValue) {
            $currentValue = $newValue
            # 调用Node.js脚本并传入新壁纸路径
            & $nodeExePath $nodeScriptPath "--path=$newValue"
            Write-Host "壁纸路径已更新：$newValue"
        }
    }
}
finally {
    # 确保脚本终止时关闭注册表项
    $regKey.Close()
}

方案二：异步CIM事件监控（后台运行） #

通过WMI/CIM注册表事件实现异步监听，无需阻塞主循环：

$nodeExePath = "C:\path\to\node.exe"
$nodeScriptPath = "C:\path\to\index.js"

# 编写CIM查询语句，定位HKCU下的目标注册表项
$cimQuery = @"
SELECT * FROM RegistryValueChangeEvent 
WHERE Hive='HKEY_CURRENT_USER' 
AND KeyPath='Control Panel\\Desktop' 
AND ValueName='Wallpaper'
"@

# 注册异步事件监听
Register-CimIndicationEvent -Query $cimQuery -Action {
    $newValue = Get-ItemPropertyValue -Path "HKCU:\Control Panel\Desktop" -Name "Wallpaper"
    # 使用$using:引用外部变量
    & $using:nodeExePath $using:nodeScriptPath "--path=$newValue"
    Write-Host "检测到壁纸注册表项变更：$newValue"
}

Write-Host "正在后台监控壁纸变更，按Ctrl+C停止..."
# 保持脚本运行以维持事件监听
Wait-Event

关键注意事项 #

• 普通用户权限即可访问HKCU下的注册表项，无需管理员权限。
• 方案一的循环会占用当前PowerShell窗口，若需后台运行可将脚本注册为Windows任务。
• 方案二的事件监听依赖脚本运行状态，关闭脚本会终止监控。

内容的提问来源于stack exchange，提问作者Whayn