为何wbemservices ExecQuery在命令行正常，以服务运行时触发访问违例？

核心原因 #

命令行运行时程序使用当前登录用户的权限上下文，而Windows服务默认运行在Session 0，且通常使用Local System或受限账户，与用户会话的权限、资源访问范围完全不同，这是导致ExecQuery调用失败的根本原因。

具体修复步骤 #

• 调整服务运行账户
  默认的Local System账户虽权限高，但受Session隔离限制，无法访问用户会话（Session 1+）中的部分进程或WMI资源。可将服务运行账户改为具有管理员权限的本地/域账户，测试是否解决问题。
• 配置WMI命名空间权限
  打开wmimgmt.msc，右键「WMI控制」→「属性」→「安全」选项卡，找到你查询的WMI命名空间（如root\CIMV2），给服务运行账户添加启用账户、远程启用、读取安全权限。
• 修正WQL查询逻辑
  若查询包含用户会话相关进程（如桌面应用），服务在Session 0无法直接访问。需修改WQL语句，例如添加会话ID过滤，或使用WTSEnumerateSessions等API跨会话获取进程信息，避免访问无权限的对象。
• 检查代码中的对象释放
  确保调用ExecQuery后，正确释放WMI相关对象（如IEnumWbemClassObject、IWbemClassObject），内存泄漏或未正确释放会触发访问违例。同时确认WQL语句无语法错误，超时参数设置合理。
• 查看WMI活动日志定位细节
  打开事件查看器→「应用程序和服务日志」→「Microsoft」→「Windows」→「WMI-Activity」，查看相关错误日志，日志会明确记录访问被拒绝的具体对象或权限缺失项。

内容的提问来源于stack exchange，提问作者Dolph