CMD系统信息查询与系统管理命令及巡检脚本实战

命令提示符（CMD）里跟系统信息查询、系统管理相关的那一批命令，是很多人装了好几年系统都没认真碰过的东西。大多数人打开黑框框的第一反应就是敲个ipconfig看看 IP，或者ping一下网关，验证完就关掉了。但只要你有过一次需要远程判断一台机器到底是什么配置、什么系统版本、装了什么补丁、跑了哪些服务的经历，就会明白：图形界面能给你的信息，往往是经过裁剪和归类的，而命令提示符给你的，是原始、可复制、可归档、可批处理的第一手数据。

这一篇要聊的就是这些命令：怎么把一台机器的家底一次摸清，怎么在不进"任务管理器"和"服务"面板的前提下把进程服务搞定，怎么查账户、查磁盘、查电源状态，以及怎么把一堆零散命令串成一个能直接跑、能存日志的巡检脚本。适合谁看？适合经常要维护多台机器的人、写批处理做自动化的人、以及想搞懂"系统和我说的话到底哪个是真的"这类问题的人。哪怕你之前只会在 CMD 里敲dir，跟着往下走也能上手。

1. 系统信息与管理命令，为什么值得单独拎一遍

1.1 图形界面给不了的三个东西

先说清楚这批命令的定位。任务管理器、系统属性、设备管理器这些界面当然好用，但它们有三个天生短板。第一是不可批量：你有十台机器要看内存条型号，界面上点十次，而且每台的点法可能还不一样；命令行一条wmic memorychip get capacity,speed就全出来了。第二是不可归档：界面上的数据截图存下来，过半年想对比就只能靠肉眼；命令输出可以重定向到文件，形成带时间戳的历史记录。第三是不可组合：界面不会让你"把空闲内存小于 2GB 的机器筛出来"，但命令输出配合for /f就能做到。

这三点决定了命令行在"巡检""排障""交接"三个场景里几乎不可替代。举个最常见的：某台机器间歇性卡顿，重启就好，重启几天后又卡。界面看不出任何异常，因为你看的时候它刚好正常。这时候挂一个定时任务，每十分钟把tasklist和systeminfo的输出追加到日志文件里，事后翻日志就能看到卡顿前的进程峰值和内存变化曲线。这种活图形界面干不了。

还有个细节常被忽略：命令行的输出是纯文本。纯文本意味着你可以用记事本、Excel、任何脚本语言去处理它。我在做设备台账的时候，就是让每台机器跑一遍固定的几条命令，输出 CSV，最后合并成一张总表。整个流程没有任何手工录入，也就没有抄错的可能。

注意：命令行显示的信息也有"骗人"的时候。比如某些虚拟化环境会把物理内存、CPU 型号伪装成宿主的，systeminfo读的是系统上报值，不是物理探针。判断是不是虚拟机，看系统型号里有没有 Virtual、VMware、KVM 这类字样更靠谱。

1.2 谁最该把这几条命令背下来

我把使用者分成三类，各自的重点完全不同。

第一类是日常维护岗。这类人最需要的是systeminfo、tasklist、sc query、net user这四条。前两条定位"机器什么样、谁在吃资源"，后两条定位"服务活着没、账户有没有异常"。基本上一台陌生机器到手，这四板斧下去，心里就有底了。

第二类是写自动化脚本的。重点在输出格式上：/fo csv、/nh、/value这几个参数必须熟，不然解析起来痛不欲生。还有for /f的分隔符处理、延迟变量展开，这些是绕不开的基本功。

第三类是想搞明白系统在干什么的。这类人可能不做运维，但讨厌"黑箱感"。他们会关心sc qc输出里那个 START_TYPE 到底什么意思、whoami /priv列出来的权限项代表什么。这类需求没有明确终点，但收获往往最大。

需要提前说一句：这批命令里有相当一部分是高危操作。diskpart、reg delete、taskkill /f、net user /delete，敲错一个字母的后果可能是数据没了或者系统起不来。所以后文凡是涉及写入、删除、格式化的，我都会单独标出来，并且建议先在虚拟机里跑一遍。

1.3 一份命令能力地图，先给个全景

在往下拆细节之前，先把这批命令按"读"和"写"分个类，方便你建立心理预期。凡是只读的，随便跑，跑错了顶多报个错；凡是写的，动手前先备份。

记住这张表的分界线：左边随便玩，右边先想清楚。老手和新手最大的区别不在会不会敲，而在敲之前有没有停下来想三秒。

2. 摸清家底：系统信息查询命令逐条拆解

2.1 systeminfo 的正确打开方式

systeminfo是这批命令里信息密度最高的一个，一条命令能吐出二十多项内容：主机名、系统名称、版本号、构件类型、安装日期、启动时间、主板厂商与型号、BIOS 版本、处理器型号与核心数、物理内存总量与可用量、虚拟内存使用情况、时区、系统区域设置、已安装的补丁列表。

第一次用的人通常会被它刷屏然后直接滚到底，其实只要加两个参数就变得非常好用：

systeminfo /fo csv > sysinfo.csv

/fo csv把输出改成逗号分隔，直接能被 Excel 打开。还有一个/fo table是默认值，/nh是去掉表头，脚本里常用。

单看"系统启动时间"这一项就足够应付很多场景。有人报"电脑好像没关机过"，你跑一下看启动时间，就知道是真是假。看"物理内存可用量"能快速判断是不是内存不够导致的卡顿，但要注意这个数值是瞬时值，刚开机和跑了一下午完全不一样，别拿一次读数下结论。

还有个小坑：systeminfo在某些机器上跑得特别慢，十几秒才出结果。原因是它会去枚举 Hotfix 列表，这个过程要翻注册表里一大片键。真要快，就别用systeminfo拿版本号，改用ver或者wmic os get version，一秒出结果。我一般的做法是：要完整信息用 systeminfo，只要版本号用 ver，别拿重炮打蚊子。

至于补丁列表，systeminfo输出的是"修补程序"段落，机器补丁多的时候能列几十行，混在其它信息里很难看。更好的做法是单独查：

wmic qfe get hotfixid,installdate,description /format:table

这个输出干净得多，而且能直接排序看出最近打了什么补丁。

2.2 wmic 的结构化查询与被弃用的现实

wmic是 Windows 管理规范（WMI）的命令行入口，它的价值在于精确取字段。systeminfo是一锅端，wmic是你点菜。

几条最常用的：

wmic os get caption,version,buildnumber,osarchitecture /value wmic computersystem get manufacturer,model,totalphysicalmemory /value wmic cpu get name,numberofcores,numberoflogicalprocessors /value wmic memorychip get capacity,speed,manufacturer,devicelocator /value wmic diskdrive get model,size,serialnumber,interfacetype /value wmic logicaldisk get deviceid,volumename,freespace,size /value wmic bios get serialnumber,version,releasedate /value

/value参数的作用是把输出从表格改成"键=值"的竖排格式。为什么推荐它？因为表格格式在字段宽度不够时会截断，比如序列号长一点就被省略成...，而/value不会。这个坑我踩过一次，拿主板序列号去做设备登记，表格输出里末尾几位是省略号，直接抄进台账里全是错的，后来返工重跑了三十多台。

关于容量换算，wmic返回的永远是字节数。你在脑子里除 1024 三次得 GB，不如直接在脚本里算：

set /a SIZE_GB=%RAW%/1073741824

1073741824 就是 1024 的三次方。要注意set /a是整数运算，超过 2^31 的数会溢出，所以内存容量这种小数值没问题，磁盘容量如果超过 2TB 用 32 位批处理算会出负数。稳妥的做法是用 64 位的 PowerShell 或者干脆不换算，直接显示字节。

现在必须说清楚一个现实问题：wmic已经在较新的 Windows 版本中被标记为弃用，并且在部分版本里默认不再安装。这意味着你在新机器上敲wmic可能直接提示"不是内部或外部命令"。替代方案是 PowerShell 的 CIM 命令：

Get-CimInstance -ClassName Win32_OperatingSystem | Select-Object Caption,Version,BuildNumber Get-CimInstance -ClassName Win32_PhysicalMemory | Select-Object Capacity,Speed,DeviceLocator

CIM 命令的好处是对象化输出，Select-Object只取想要的字段，Where-Object做过滤，比字符串解析优雅得多。所以我的建议是：老机器、老脚本、临时应急，wmic依然是最快的选择；要写长期维护的东西，直接上 PowerShell 的 CIM，别在一条注定要消失的路上投入太多。

2.3 四条被严重低估的小命令

这几条命令短到没人在意，但在排障时能省很多时间。

ver：一行输出当前系统版本号，比如10.0.19045.3803，前面那串Microsoft Windows [版本 ...]的包装。真要在脚本里取版本，用ver还得再截字符串，不如wmic os get version直接。但临时确认一下很快。

hostname：输出计算机名。这个太简单了，但它的价值在于批量取名字。你要是手工去"此电脑-属性"里看十台机器的名字，得点二十次；写成for /f循环访问远程机器时，hostname也是常用的验证手段。

whoami：输出当前登录账户，格式是域\用户名或计算机名\用户名。加参数就变成神器：whoami /user看 SID，whoami /groups看所属组，whoami /priv看当前进程持有的特权列表。whoami /priv尤其有用——很多"我明明是管理员为什么操作被拒"的问题，看这个就明白了：账户在管理员组里，但进程没提权，特权列表里一堆项显示"已禁用"。

set：不带参数时输出全部环境变量。set PATH只看 PATH，set TEMP看临时目录。排"为什么我的脚本在 A 机器能跑 B 机器不能跑"，先比对两台的 PATH 和 TEMP，八成能找到线索。注意set的输出也是可以重定向的，set > env.txt存一份环境快照，出问题时对比特别方便。

这四条命令加起来不到十个字母的输入量，但组合起来能解决很多日常问题。我现在评估一台陌生机器，基本就是hostname+whoami /priv+ver+set四连，三十秒内建立基本认知。

2.4 硬件与网络侧写：driverquery、getmac、ipconfig 的组合

driverquery列驱动，默认表格输出，字段是模块名、显示名、驱动类型、链接日期。加/v变成详细模式，多出厂商、文件路径等；加/fo csv /nh适合解析。这东西的实际用途不是"看有哪些驱动"，而是对比两台机器——同一批机器理论上驱动应该一致，出现差异通常意味着有人手工装了什么，或者镜像不一致。

driverquery /v /fo csv > drivers.csv

getmac取网卡物理地址，/v加详细，/fo list竖排。

getmac /v /fo list

注意getmac会把虚拟网卡、蓝牙网卡、虚拟交换机一起列出来，输出里经常有七八个 MAC，别只看第一个就当成物理网卡地址。判断哪个是真的，看"传输名称"这一项，物理网卡通常绑定到具体的有线或无线适配器名称上。

ipconfig这个大家都会，但/all之外还有几个参数值得记住：/flushdns清 DNS 缓存，/release和/renew对应释放和重新获取 IP，/displaydns看当前缓存了哪些域名解析结果。最后一个在排查"网站打不开但 ping 得通"时非常有用——缓存里存着一条错误的解析结果，清一下就好。

还有nslookup，虽然标题里没提，但既然讲系统信息和管理，它属于同一批工具。用nslookup 域名 指定DNS服务器可以指定用哪台服务器去解析，在判断"是本地 DNS 有问题还是对方域名解析有问题"时是标准手法。

3. 动手管起来：系统管理命令的实操边界

3.1 进程与服务：tasklist、taskkill、sc、net

tasklist是任务管理器的命令行版，但比界面多出的能力是过滤和格式。

tasklist /v /fo csv > tasks.csv tasklist /fi "imagename eq svchost.exe" /fi "memusage gt 100000" tasklist /svc /fi "imagename eq svchost.exe"

第二个例子展示了/fi过滤器的用法，gt是大于，单位是 KB。第三个例子里的/svc特别有用：svchost.exe是共享宿主进程，一个进程里可能驮着十几个服务，/svc会把每个进程承载的服务名都列出来。界面里要一个个展开看，命令行一行搞定。

taskkill是写操作，动手前想清楚：

taskkill /im notepad.exe taskkill /pid 1234 /t /f

/t是连同子进程一起结束，/f是强制。不加/f的时候程序有机会走正常退出流程，保存提示还会弹出来；加了/f就是直接掐断，未保存的数据全丢。所以除非进程已经卡死不响应，否则别习惯性加/f。还有/im是按名字杀，如果机器上有多个同名进程，会全杀掉，用/pid更精准。

sc是服务控制器，和net start的关系经常被搞混。简单说：net start只能启停，sc能查配置、能改启动类型、能创建服务。查看一律用sc query，改配置用sc config。

sc query sc query state= all sc qc 服务名 sc queryex 服务名 sc config 服务名 start= demand sc stop 服务名 sc start 服务名

sc qc输出里有一行START_TYPE，取值含义要记住：AUTO_START是自动，DEMAND_START是手动，DISABLED是禁用。很多人排"某服务怎么不启动"，其实就是启动类型被设成了禁用。

两个细节特别容易踩坑。第一，sc config的参数格式是start= demand，等号后面必须有一个空格，写成start=demand会报错，这个坑几乎人人踩过。第二，state= all同理，等号和值之间要有空格，否则sc query state= all会被当成参数解析错误。

net start不带参数时列出所有正在运行的服务，输出比sc query简洁得多，适合快速扫一眼。net start 服务名启动，net stop 服务名停止。要注意服务名和显示名不是一回事，net start认的是显示名，sc认的是服务名。比如某个服务的服务名可能是Winmgmt，显示名是Windows Management Instrumentation，两者都能用但要看命令。

3.2 账户与权限：net user 与 net localgroup 的实操细节

net user是本地账户管理的主力命令。

net user net user 用户名 net user 用户名 /add net user 用户名 密码 /add net user 用户名 /delete net user 用户名 /active:no net user 用户名 /comment:"备注"

不带参数时列出所有本地账户，带用户名时列出该账户的详细属性：上次登录时间、密码过期时间、密码是否可更改、所属本地组等。这几个字段在排查"账户为什么登不上"时很关键，比如"密码已过期"和"账户已禁用"是两种完全不同的原因，处理方式也不一样。

net localgroup管组。

net localgroup net localgroup administrators net localgroup administrators 用户名 /add net localgroup administrators 用户名 /delete

注意administrators在中文系统里也能用英文名，系统会自动映射到"Administrators"组，不用担心语言问题。

高危提醒：net user 用户名 /delete会直接删除账户配置文件关联，虽然用户目录还在，但重新创建同名账户后配置文件不会自动挂回去，桌面、文档这些会"看起来丢了"。真要做删除操作，先备份用户目录。

目录服务环境下的net group、net localgroup /domain这类跨域操作，我这里只提一句存在，不展开。本地账户管理是这套命令最稳的用法，也最常用。

whoami /groups和net localgroup administrators搭配，能快速确认"这个账户到底有没有管理员权限"。有时候界面上显示是管理员，但 UAC 没提权，实际跑命令时是标准用户令牌，whoami /priv里能看出来。

3.3 磁盘、电源与关机：diskpart、chkdsk、powercfg、shutdown

diskpart是这批命令里最危险的一个，没有之一。它是交互式工具，进去之后list disk、select disk 0、clean三连就能把一块盘抹干净，而且没有二次确认。

diskpart list disk select disk 0 list partition detail disk exit

我的建议是：只用diskpart做查询，做写操作前先想十分钟。要脚本化的话，把命令写进文本文件，然后用diskpart /s 脚本文件执行，这样至少能留下操作记录：

diskpart /s C:\scripts\disklist.txt

脚本文件里每行一条命令。查询用的脚本内容就是list disk和list volume这类只读命令。

chkdsk检查磁盘，chkdsk C:是只读扫描，不加参数只报告不修改；chkdsk C: /f修复文件系统错误；chkdsk C: /r顺带扫描坏扇区，非常慢，机械盘上跑几个小时是常事。系统盘做/f会提示"是否在下次启动时检查"，因为当前系统文件被占用。

powercfg管电源策略，几个参数实用：

powercfg /a powercfg /batteryreport powercfg /energy powercfg /list powercfg /hibernate off

/a列出当前可用的睡眠状态，排"为什么合盖不睡"就看这个，输出里会明确告诉你某项不可用的原因。/batteryreport生成一份电池报告 HTML，里面包含设计容量和实际满充容量的对比，判断电池老化程度很直观。/energy跑一段时间后生成能耗分析报告，会列出哪里在偷偷耗电，跑这个需要管理员权限。

shutdown大家最熟，但参数值得再过一遍：

shutdown /s /t 60 shutdown /r /t 0 shutdown /a shutdown /s /t 30 /c "计划维护，30秒后重启" shutdown /m \\计算机名 /r /t 0

/t单位是秒，/a是取消待执行的关机（加了/t之后反悔就用它），/c附带提示语。/m可以操作远程机器，前提是有权限且远程注册表服务可用。

/t有一个隐藏好处：给了自己一个缓冲期。我习惯用shutdown /s /t 120，敲完两分钟内如果发现命令敲错了，shutdown /a就能救回来。直接/t 0就没这个机会了。

3.4 计划任务与注册表：schtasks 与 reg 的谨慎用法

schtasks是计划任务面板的命令行版，最常用的组合是"建一个每天定时跑脚本的任务"：

schtasks /create /tn "日常巡检" /tr "C:\scripts\daily.bat" /sc daily /st 09:00 /ru SYSTEM schtasks /query /tn "日常巡检" /v /fo list schtasks /run /tn "日常巡检" schtasks /delete /tn "日常巡检" /f schtasks /change /tn "日常巡检" /st 10:00

/ru SYSTEM表示以系统账户身份运行，好处是不用输密码、不依赖某个用户登录、权限也足够。缺点是这个任务在用户桌面看不到窗口，调试阶段容易懵。调试的时候先去掉/ru SYSTEM，用当前用户跑，看着窗口弹出来确认没问题，再改成系统账户。

/sc的取值除了daily，还有once、weekly、monthly、onlogon、onstart、minute、hourly。/sc minute /mo 10就是每十分钟跑一次，做监控很方便。

注册表操作用reg：

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion" /v ProgramFilesDir reg query "HKCU\Software" /s /f "关键词" reg add "HKCU\Software\测试项" /v 值名 /t REG_SZ /d "内容" /f reg delete "HKCU\Software\测试项" /f reg export "HKCU\Software\测试项" backup.reg reg import backup.reg

reg query /s /f "关键词"是递归搜索，翻遍整棵子树找匹配项，在找某个软件残留配置时特别高效，但也很慢，范围别开太大。

reg add的/t是类型，除了REG_SZ（字符串），还有REG_DWORD（32 位整数）、REG_EXPAND_SZ（含环境变量的字符串）、REG_MULTI_SZ（多行）。/d是数据。/f是覆盖不提示。

高危提醒：注册表没有回收站。reg delete删掉就是删掉。动手前一定reg export备份一份，或者至少用reg query把当前值原样记下来。

还有一个容易被忽略的点：reg里的路径如果包含空格，整体用双引号包住，而且要用反斜杠分隔层级，不是正斜杠。"HKLM\SOFTWARE\..."是对的，"HKLM/SOFTWARE/..."会报错。

4. 把命令串起来：巡检脚本的完整落地

4.1 输出重定向与日志归档的几种写法

单条命令的输出重定向有三个符号要分清：

• >覆盖写入，文件已存在会被清空
• >>追加写入
• 2>&1把错误输出合并到标准输出

第三个最容易被忽略。systeminfo > info.txt只捕获正常输出，如果命令报错，错误信息还是打在屏幕上，文件里啥也没有。写成systeminfo > info.txt 2>&1就都进文件了。

日志文件命名要带时间戳，否则跑第二遍就覆盖了。取时间戳这一步在批处理里有个大坑：%date%和%time%的格式取决于系统的区域设置。中文系统里%date%通常是2024/01/15 周一或者2024-01-15，英文系统是Mon 01/15/2024，你的截取代码换台机器就可能取出一堆中文。

稳妥的写法是用 WMI 拿标准格式的时间：

for /f "tokens=2 delims==" %%i in ('wmic os get localdatetime /value ^| find "="') do set LDT=%%i set TS=%LDT:~0,8%_%LDT:~8,6%

localdatetime返回的是20240115143025.500000+480这种格式，前 8 位是日期，接下来 6 位是时分秒，完全不依赖区域设置。这段代码几乎是所有靠谱批处理脚本的标配，抄下来直接用就行。

顺便说一句%time%里的空格问题。早上九点前，%time%是9:05:03.12，前面有个空格，拼进文件名里会变成两个空格甚至导致路径解析错误。用上面那套 WMI 方案就没这个烦恼。

4.2 for /f 解析输出的正确姿势

for /f是批处理里唯一的"文本解析器"，用不好会痛不欲生。核心参数是三个：delims定分隔符，tokens定取第几列，skip定跳过前几行。

for /f "skip=1 tokens=3 delims=," %%a in ('wmic logicaldisk get size^,freespace^,deviceid /format:csv') do echo 盘 %%a

几个必须掌握的点：

第一，逗号在delims里要转义。delims=,会被当成参数分隔，要写成delims^,或者干脆用引号包住整个选项字符串。

第二，wmic的 CSV 输出末尾会有空行，for /f会读到空行导致变量为空。加if not "%%a"==""过滤一下。

第三，wmic的 CSV 输出会带一行表头，用skip=1跳过。但某些情况下表头行前还会有一个空行，skip就要改成 2。这个跟系统版本有关，建议先单独跑一次看看原始输出长什么样，再决定 skip 几行。

第四，管道符|在for /f的命令里要写成^|，因为|会被外层批处理先解析掉。

第五，循环里改变量要用延迟展开。for循环体里对变量赋值后，同一轮循环内用%var%拿不到新值，要用!var!并且开头加setlocal enabledelayedexpansion。这个坑几乎每个写批处理的人都踩过，报错现象是"变量明明是空的"或者"一直显示第一次的值"。

setlocal enabledelayedexpansion for /f "skip=1 tokens=1,2 delims=," %%a in ('wmic logicaldisk get deviceid^,freespace /format:csv') do ( if not "%%a"=="" ( set DISK=%%a set FREE=%%b echo 盘 !DISK! 剩余 !FREE! ) )

4.3 一份可直接改用的机器巡检脚本

把前面这些串起来，写一个能直接跑、输出到日志、每项都有明确格式的巡检脚本。这个版本我在虚拟机上跑过多次，逻辑是通的，路径和项目名改一改就能用。

@echo off setlocal enabledelayedexpansion chcp 65001 >nul set LOGDIR=%~dp0logs if not exist "%LOGDIR%" md "%LOGDIR%" for /f "tokens=2 delims==" %%i in ('wmic os get localdatetime /value ^| find "="') do set LDT=%%i set TS=%LDT:~0,8%_%LDT:~8,6% set LOGFILE=%LOGDIR%\check_%TS%.log echo ===== 基础信息 ===== >> "%LOGFILE%" hostname >> "%LOGFILE%" ver >> "%LOGFILE%" whoami >> "%LOGFILE%" echo. >> "%LOGFILE%" echo ===== 系统概况 ===== >> "%LOGFILE%" wmic os get caption,version,buildnumber,osarchitecture,lastbootuptime /value >> "%LOGFILE%" 2>&1 echo. >> "%LOGFILE%" echo ===== 硬件 ===== >> "%LOGFILE%" wmic cpu get name,numberofcores,numberoflogicalprocessors /value >> "%LOGFILE%" wmic memorychip get capacity,speed,devicelocator /value >> "%LOGFILE%" wmic diskdrive get model,size,serialnumber /value >> "%LOGFILE%" echo. >> "%LOGFILE%" echo ===== 磁盘空间 ===== >> "%LOGFILE%" for /f "skip=1 tokens=1,2,3 delims=," %%a in ('wmic logicaldisk get deviceid^,freespace^,size /format:csv') do ( if not "%%c"=="" if not "%%b"=="" ( set /a USED=%%c-%%b set /a PCT=!USED!*100/%%c echo 盘符 %%a 总量 %%c 空闲 %%b 使用率 !PCT!%% >> "%LOGFILE%" ) ) echo. >> "%LOGFILE%" echo ===== 占用前 10 进程 ===== >> "%LOGFILE%" tasklist /fo csv /nh >> "%LOGFILE%" echo. >> "%LOGFILE%" echo ===== 异常服务 ===== >> "%LOGFILE%" sc query state= all | findstr /i "SERVICE_NAME STATE" >> "%LOGFILE%" echo. >> "%LOGFILE%" echo ===== 本地账户 ===== >> "%LOGFILE%" net user >> "%LOGFILE%" net localgroup administrators >> "%LOGFILE%" echo 巡检完成，日志：%LOGFILE% endlocal

这段脚本有几个刻意为之的设计，展开说说。

chcp 65001是把代码页切成 UTF-8。不加这句，中文系统的输出是 GBK 编码，日志文件用别的编辑器打开可能乱码。加了之后要注意，脚本文件本身的编码也得存成 UTF-8，否则读中文路径会出问题。这个编码问题没有一劳永逸的解法，只能根据你的实际环境选一边。

%~dp0是脚本所在目录，%~dp0logs就是脚本旁边的 logs 文件夹。这样脚本放哪都能用，不用改路径。这是批处理里最省事的一个技巧，比硬编码C:\...强太多。

磁盘使用率那一段用了/a做整数运算。%%c是总量，%%b是空闲，相减得已用，再乘 100 除以总量得百分比。注意整数运算会截断小数，显示 87% 实际可能是 87.9%，做告警判断时留点余量。

findstr /i "SERVICE_NAME STATE"从sc query的输出里筛出关键行，去掉了大量空白行和分隔符，日志体积能压缩到原来的三分之一左右。这属于"读起来舒服"的优化，不是必需的，但长期看很有价值——几百台机器的日志堆在一起，能不能快速扫一眼很关键。

真要落地到生产，还有两件事得补上：一是把脚本挂进计划任务，用schtasks /create定时跑；二是在脚本末尾加一个简单的阈值判断，比如使用率超过 90% 就往另一个"告警"目录里额外写一份。这两步加起来不到十行代码，但就从"手动跑"变成了"自动巡检"。

5. 踩过的坑：常见问题与排查速查

5.1 报错与现象速查表

5.2 权限、编码、路径这三个高频坑

权限坑。很多人分不清"账户在管理员组"和"当前进程有管理员令牌"这两件事。net localgroup administrators告诉你账户在组里，whoami /priv告诉你当前进程拿到哪些特权。UAC 开启时，即使你是管理员，普通双击打开的 CMD 也是标准用户令牌，whoami /priv里大部分项显示"已禁用"。这时候sc stop、reg add这类操作就会失败。解决办法只有一个：右键"以管理员身份运行"。批处理里要开机自启并且需要高权限，就在计划任务里用/ru SYSTEM，或者给任务勾选"使用最高权限运行"。

编码坑。这个坑的根源是两套编码：系统默认的 GBK 和脚本文件可能存的 UTF-8。轻则中文乱码，重则路径解析失败、命令找不到。我的经验是：如果脚本里出现中文路径或中文输出，统一用chcp 65001加 UTF-8 编码，别混用；如果脚本纯英文，那就干脆不写chcp，保持系统默认。混用是最容易出问题的。

还有一种更隐蔽的现象：systeminfo输出重定向到文件后，用某些编辑器打开是乱码，用记事本打开正常。这不是命令的问题，是编辑器的编码识别策略问题。判断内容对不对，直接看字节数是否合理，别被展示层骗了。

路径坑。reg的路径用反斜杠，别用正斜杠。schtasks的/tr参数如果命令里带空格，要用转义的双引号\"包住内层命令，或者干脆把逻辑写进一个 .bat 文件，/tr只指向那个文件。后者是好习惯，计划任务面板里看着也清爽。批处理脚本里引用带空格的路径，统一加双引号，包括cd、copy、del的参数，宁可多写引号也别省。

5.3 几条个人习惯上的小结

最后说几条不成体系的习惯，都是被坑出来之后养成的。

第一条，任何写操作命令，先在末尾加个echo看一眼。想跑taskkill /im xxx.exe，先跑echo taskkill /im xxx.exe，确认字符串没拼错再执行。听起来很傻，但真的能挡住不少手滑。

第二条，把常用命令存成带注释的文本文件。wmic memorychip get capacity,speed这种命令我不可能全部记住参数名字，我本地有个cmd-cheatsheet.txt，遇到新用法就追加一行，包括当时为什么用它。三年下来这个文件是我的主力工具之一，比任何搜索引擎都快。

第三条，/value比表格输出更适合人读。表格输出在字段多的时候需要横向对齐着看，脖子疼；竖排"键=值"一目了然，而且复制进文档不用调整格式。凡是要往文档里贴的，我都用/value。

第四条，老命令别急着淘汰，新命令也别急着上。wmic在新系统上没了，但一大批存量机器还在用；PowerShell 的 CIM 命令更优雅，但批处理里调用 PowerShell 有启动开销，跑一次慢一两秒，几十台机器累起来就是几分钟。我的做法是：一次性排障用wmic，写进长期脚本的用 CIM。

第五条，检查命令是不是真的执行成功了。批处理有个要命的特性：中间某条命令失败，后面的照样往下跑，退出码也不检查。所以我在关键步骤后面都会加一句if errorlevel 1 echo 步骤X失败 >> "%LOGFILE%"。这一行代码看着多余，但它决定了你事后翻日志时能不能快速定位到断点在哪。这个习惯我是在一次磁盘检查脚本"跑完了但什么也没查到"的事故之后才养成的——脚本从头到尾没有报错，但日志是空的，因为前面某条命令权限不足静默失败了，后面的重定向一直在往空文件里追加。加上errorlevel判断之后，这类"静默失败"就藏不住了。

ZH_GPT-5.1