1、什么是WMI事件

看了一下微软MSDN上对WMI事件的解释，但是没怎么看懂，不过也大概明白了。WMI事件是系统内部在执行一些动作时触发的事件，比如：打开(或关闭)某一个进程、打印、插入USB检测、打开某一个文件。

2、WMI事件查询

SELECT * FROM __InstanceCreationEvent WITHIN 0.001 WHERE TargetInstance ISA \"Win32_PrintJob\"

这条看似SQL语句的查询语句就是查询WMI事件的，我们来分析一下这条语句。

__InstanceCreationEvent这个对象翻译成中文就是：实例创建事件，就是添加或创建类的事件都是从这个对象中查询，比如我们创建一个进程或一个文件。我们不止可以查询创建事件，增、删、改这几种类型的事件都可以查询到，修改是：__InstanceModificationEvent，删除是：__InstanceDeletionEvent。查询好像没有。

within 0.001，这个参数指的是查询的轮询时间，隔多长时间去查询一次这个事件，单位是秒，这里的轮询时间是1毫秒

TargetInstance，目标实例的名称；ISA，就是is a 的缩写，连起来就是目标实例是什么

Win32_PrintJob，目标实例的名称，这里的例子是windows系统的打印任务。

整个查询的意思就是：每隔1毫秒去查询windows系统中的新建的打印任务

如果我们要查询具体实例的名称，比如我们要查询系统创建一个什么进程，那查询语句应该是这样的：

Select * From __InstanceCreationEvent WITHIN 60 Where TargetInstance ISA 'Win32_Process' and TargetInstance.Name = 'notepad.exe'

3、代码实现

引用程序集：System.Management

ManagementEventWatcher createPrintJobWatcher = new ManagementEventWatcher();

// Create event query to be notified within 1 milli second of a change in a service
WqlEventQuery createPrintJobQuery = new WqlEventQuery("SELECT * FROM __InstanceCreationEvent WITHIN 0.001 WHERE TargetInstance ISA \"Win32_PrintJob\"");



createPrintJobWatcher.Query = createPrintJobQuery;
// times out watcher.WaitForNextEvent in 20 seconds
createPrintJobWatcher.Options.Timeout = new TimeSpan(0, 0, 20);
//set the print event handler
createPrintJobWatcher.EventArrived += new EventArrivedEventHandler(createPrintJobListener);

createPrintJobWatcher.Start();

监听到事件后的事件处理程序 

static void createPrintJobListener(object sender, EventArrivedEventArgs e)
        {

            SelectQuery query = new SelectQuery("Win32_PrintJob");
            using (ManagementObjectSearcher searcher = new ManagementObjectSearcher(query))
            using (ManagementObjectCollection printJobs = searcher.Get())
                foreach (ManagementObject printJob in printJobs)
                {

                    foreach (var item in printJob.Properties)
                    {
                        Console.WriteLine($"属性名称:{item.Name},属性值：{item.Value}");
                    }
                    Console.WriteLine("c1:", printJob);
                    Console.WriteLine("ID: {0}", printJob.GetPropertyValue("JobId").ToString());
                    Console.WriteLine("name: {0}", printJob.GetPropertyValue("name").ToString());
                    Console.WriteLine("status: {0}", printJob.GetPropertyValue("status").ToString());
                    if (printJob.GetPropertyValue("JobStatus") != null)
                    {
                        Console.WriteLine("JobStatus: {0}", printJob.GetPropertyValue("JobStatus").ToString());
                    }
                    else
                    {
                        Console.WriteLine("JobStatus: NULLLLLL");
                    }

                    Console.WriteLine("PC: {0}", printJob.GetPropertyValue("HostPrintQueue").ToString());
                    Console.WriteLine("TOTOAL PAGES: {0}", printJob.GetPropertyValue("TotalPages").ToString());
                }
        }

最后附上MSDN的地址：WMI 事件 | Microsoft Docs