如何检测Windows是否正在关闭或重新启动

Question

我知道当 Windows 关闭时，它会发送 WM_QUERYENDSESSION< /a> 向每个应用程序发送消息。 这样可以轻松检测 Windows 何时关闭。 但是，是否有可能知道计算机是否将要关闭或 Windows 关闭后是否将重新启动。

我并不是特别抱有希望，考虑到 MSDN 上的文档对 WM_QUERYENDSESSION 有这样的说法：“...不可能确定正在发生哪个事件”，但 stackoverflow 的累积智慧永远不会停止让我惊讶。

Answer 1

在 Windows 7 中（也可能在 Vista / 8 / Server 中），您可以使用系统事件来跟踪 Windows 是正在关闭（并关闭计算机电源）还是只是重新启动。 每次启动关闭/重新启动（通过任何方式 - 单击“开始”菜单中的按钮，或以编程方式），Windows 7 都会在系统日志中写入一两个事件，源 USER32，事件 ID 1074。如果满足以下条件，您可以看到记录的这些事件：从管理工具中打开事件查看器（过滤系统日志以仅查看 ID 1074）。 这些事件的描述（消息）包含关闭类型。 因此，您可以解析此类最近事件的描述（启动关闭后），查找必要的单词（关闭、重新启动/重新启动）。

当使用电源按钮正常关闭 Windows 时，我没有尝试查看事件中写入的关闭类型（我通常禁用此功能），但某些网站建议它指出“关闭电源”类型而不是“关闭” -如果您需要确定的话，请检查一下。 或者只是查找“重新启动”类型 - 如果未找到，则假定为“关闭”类型。

根据我的经验，在 Windows XP 中，仅当以编程方式完成关闭/重新启动时（例如在程序安装期间或使用 shutdown.exe 实用程序期间）才会记录事件 1074。 因此，它不会注册从 shell（资源管理器）启动的关闭，但也许您可以将此方法与另一个答案中建议的从注册表读取值结合起来。 另外，请记住，在 WinXP 中，无论真正的关机类型是什么，事件 1074 的消息都包含“重新启动”一词，因此您应该查看“关机类型：”字段，该字段将说明“关机”或“重启”。

与此相关的是，只要 Windows 由于某种原因无法关闭/重新启动（例如，如果应用程序不允许关闭作为对 WM_QUERYENDSESSION 的响应），就会记录事件 ID 1073。 在这种情况下，该消息还将包含“关机”、“重新启动”或“关闭电源”等字样 - 在 WinXP 中。 对于 Win7，这种类型的事件在我们的例子中不太有用，因为它不会在关机和重新启动之间产生任何区别。 但对于 WinXP - 如果您只需要拦截关机/重新启动，执行一些操作，然后继续相应的关机或重新启动过程 - 它应该按预期工作。

Answer 2

来自此处：

您可以从以下位置读取 DWORD 值
“HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shutdown
设置”来确定用户的内容
最后从“关机”中选择
对话框。

有点迂回的解决方案，但它应该可以解决问题。

Answer 3

通常有效的技巧是捕获 WM_ENDSESSION 并记录它。 现在记下时间。 如果系统在合理的时间内（例如 5 分钟）恢复正常。 然后是重新启动，而不是关闭。

想法：如果系统在 5 分钟内恢复正常，用户单击“关机”或“重新启动”是否真的很重要？

如果您确实需要检测关闭（我认为您需要这样做的唯一原因是，如果您依赖于关闭与重新启动之间的模糊行为软件差异），您可以调查API hooking< /code> ExitWindowsEx 及相关函数，但我不推荐这种方法。 重新考虑一下您是否确实需要直接检测到这一点。

Answer 4

Windows7 的可能实验解决方案如下。 （我不确定这是否适用于其他本地化，因此我将其称为解决方法）

using System.Diagnostics.Eventing.Reader;

namespace MyApp
{
public class RestartDetector : IDisposable
{
    public delegate void OnShutdownRequsted(bool restart);
    public OnShutdownRequsted onShutdownRequsted;

    private EventLogWatcher watcher = null;

    public RestartDetector()
    {
        try
        {
            EventLogQuery subscriptionQuery = new EventLogQuery(
                "System", PathType.LogName, "*[System[Provider[@Name='USER32'] and (EventID=1074)]]");

            watcher = new EventLogWatcher(subscriptionQuery);

            // Make the watcher listen to the EventRecordWritten
            // events.  When this event happens, the callback method
            // (EventLogEventRead) is called.
            watcher.EventRecordWritten +=
                new EventHandler<EventRecordWrittenEventArgs>(
                    EventLogEventRead);

            // Activate the subscription
            watcher.Enabled = true;
        }
        catch (EventLogReadingException e)
        {
        }
    }

    public void EventLogEventRead(object obj, EventRecordWrittenEventArgs arg)
    {
        bool restart = false;
        try
        {
            // Make sure there was no error reading the event.
            if (arg.EventRecord != null)
            {
                String[] xPathRefs = new String[1];
                xPathRefs[0] = "Event/EventData/Data";
                IEnumerable<String> xPathEnum = xPathRefs;

                EventLogPropertySelector logPropertyContext = new EventLogPropertySelector(xPathEnum);
                IList<object> logEventProps = ((EventLogRecord)arg.EventRecord).GetPropertyValues(logPropertyContext);

                string[] eventData = (string[])logEventProps[0];

                foreach (string attribute in eventData)
                {
                    if (attribute.Contains("restart")) { restart = true; break; }
                }
            }
        }
        catch (Exception e)
        {
        }
        finally
        {
            if (onShutdownRequsted != null) { onShutdownRequsted(restart); }
        }   
    }

    public void Dispose()
    {
        // Stop listening to events
        if (watcher != null)
        {
            watcher.Enabled = false;
            watcher.Dispose();
        }
    }
}
}

以下是在 PC 重新启动时写入事件日志的 XML 示例：

- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
- <System>
  <Provider Name="USER32" /> 
  <EventID Qualifiers="32768">1074</EventID> 
  <Level>4</Level> 
  <Task>0</Task> 
  <Keywords>0x80000000000000</Keywords> 
  <TimeCreated SystemTime="2015-12-15T11:10:43.000000000Z" /> 
  <EventRecordID>90416</EventRecordID> 
  <Channel>System</Channel> 
  <Computer>WIN7PC</Computer> 
  <Security UserID="S-1-5-21-1257383181-1549154685-2724014583-1000" /> 
  </System>
- <EventData>
  <Data>C:\Windows\system32\winlogon.exe (WIN7PC)</Data> 
  <Data>WIN7PC</Data> 
  <Data>No title for this reason could be found</Data> 
  <Data>0x500ff</Data> 
  <Data>restart</Data> 
  <Data /> 
  <Data>WIN7PC\WIN7PCUser</Data> 
 <Binary>FF00050000000000000000000000000000000000000000000000000000000000</Binary> 
  </EventData>
  </Event>