WMI带Where子句无返回结果问题求助（附Delphi代码）

我帮你排查这个问题——你说不带WHERE子句能返回部分事件日志，但加了指定EventCode的条件后就拿不到结果，比如明明存在的4798记录查不到，核心问题出在WQL的类型匹配上，还有一些小细节可以优化，具体如下：

1. 核心问题：EventCode的数据类型不匹配 #

Win32_NTLogEvent类中的EventCode是无符号整数（uint32）类型，但你在查询里给数字加了双引号（比如EventCode="4798"），把它当成字符串来匹配了。WMI对数据类型的匹配非常严格，字符串和整数的比较会直接不匹配，自然查不到对应的记录。

2. 修复步骤 #

（1）修改WQL查询语句 #

去掉所有EventCode值的双引号，直接用数字比较：

FWbemObjectSet:= FWMIService.ExecQuery('SELECT Category,'+
  ' ComputerName,'+
  ' EventCode,'+
  ' Message,'+
  ' RecordNumber,'+
  ' EventType,'+
  ' TimeGenerated,'+
  ' TimeWritten,'+
  ' User,'+
  ' Type,'+
  ' EventIdentifier,'+
  ' SourceName FROM Win32_NTLogEvent '+ 
  ' Where EventCode=4798 or EventCode=5140 or EventCode=5142 '+ 
  ' or EventCode=5143 or EventCode=5144 or ' + 
  ' EventCode=4663 or EventCode=4659 or EventCode=4656 or EventCode=4907 '+ 
  ' or EventCode=4660 or EventCode=4670','WQL',wbemFlagForwardOnly);

另外注意你的原查询里重复写了EventCode="4663"，我已经帮你删掉了重复项，让语句更简洁。

（2）额外检查：确保日志权限 #

像4798这类事件属于安全日志，需要当前执行程序的用户有读取安全日志的权限。不过你不带WHERE子句能拿到结果，大概率权限是没问题的，但如果修复后还是不行，可以检查一下权限设置。

（3）可选优化：用IN子句简化查询 #

多个OR的条件可以用IN子句来简化，让WQL更易读：

FWbemObjectSet:= FWMIService.ExecQuery('SELECT Category,'+
  ' ComputerName,'+
  ' EventCode,'+
  ' Message,'+
  ' RecordNumber,'+
  ' EventType,'+
  ' TimeGenerated,'+
  ' TimeWritten,'+
  ' User,'+
  ' Type,'+
  ' EventIdentifier,'+
  ' SourceName FROM Win32_NTLogEvent '+ 
  ' Where EventCode IN (4798,5140,5142,5143,5144,4663,4659,4656,4907,4660,4670)','WQL',wbemFlagForwardOnly);

3. 为什么不带WHERE能拿到结果？ #

不带WHERE时，WMI返回所有日志记录，你在代码里通过Integer(FWbemObject.EventCode)把返回的数值转成整数是没问题的，但查询阶段用字符串匹配整数类型的字段，WMI会直接过滤掉所有不匹配的记录，所以就拿不到结果了。

内容的提问来源于stack exchange，提问作者relativ