如何确定最后修改JPEG文件的Windows程序？

嘿，Steve，遇到这种莫名损坏JPEG文件的问题确实闹心，要找出背后搞事情的程序，我给你几个实用的办法：

• 启用Windows文件审核追踪修改记录
  这个方法需要先开启系统的对象访问审核功能，具体步骤如下：

  1. 按下Win+R打开运行窗口，输入gpedit.msc打开本地组策略编辑器
  2. 依次展开「计算机配置」→「Windows设置」→「安全设置」→「本地策略」→「审核策略」
  3. 找到「审核对象访问」，双击后勾选「成功」和「失败」的审核选项，保存设置
  4. 右键目标文件夹或单个JPEG文件，选择「属性」→「安全」→「高级」→「审核」，添加需要追踪的用户或组，勾选「修改」相关的权限审核项
     之后如果再有文件被修改，你可以在事件查看器的「Windows日志」→「安全」栏目里找到事件ID为4663的记录，里面会明确显示修改文件的进程名称和路径。

• 用Process Monitor实时监控文件操作
  这是微软Sysinternals套件里的免费工具，专门用来追踪系统里的文件、注册表和进程操作，非常适合抓这类“幕后黑手”：

  1. 打开Process Monitor后，点击顶部的「过滤器」→「过滤器」按钮
  2. 设置过滤规则：选择「路径」，条件为「包含」，值填.jpg或.jpeg；再添加一条规则，选择「操作」，条件为「是」，值选「写入文件」或「设置文件信息」，最后点击「添加」并应用过滤
  3. 让工具在后台运行，等下次出现JPEG文件损坏的情况时，直接查看记录就能找到对应的进程，精准定位出有bug的程序。

• 查看JPEG的Exif元数据（辅助参考）
  部分图片编辑软件会在JPEG的Exif信息里留下「软件」字段，记录最后编辑该文件的程序。你可以右键文件选择「属性」→「详细信息」，找到「程序名称」字段查看；或者用XNView打开图片后查看元数据。不过要注意：不是所有程序都会写入这个信息，如果是后台进程偷偷修改文件，大概率不会更新这个字段，所以只能作为辅助判断的参考。

顺便解释下你提到的Bad Peggy和XNView的差异：不同的JPEG解析器容错程度不同，Bad Peggy是严格按照JPEG标准校验文件格式，哪怕文件存在微小的不符合规范的地方（比如尾部冗余数据、标记错误）都会判定为损坏；而XNView这类看图软件做了容错优化，能忽略这些小错误正常显示图片内容，所以才会出现“文件能正常查看但被Bad Peggy报错”的情况。

你现在已经用好文件覆盖了损坏的JPEG，没法回溯之前的修改记录，只能等下次出现异常时，用上面的方法实时追踪，就能抓到那个有bug的程序啦。

备注：内容来源于stack exchange，提问作者Steve Franks