Sysinternals进程监视器(ProcMon)：在过滤器上使用通配符

Question

我正在使用Sysinternals过程监视器调试一些传入的事件，现在我试图在Path上创建一个过滤器，并使用通配符。我试图使用的是过滤路径，它以c:\MyApp\MyDocuments\Temp开头，以.pdf结尾

路径过滤器应该如下所示: c:\MyApp\MyDocuments\Temp*.pdf

我该怎么做？

Answer 1

AFAIK这是不可能的你可以用

begins with c:\MyApp\MyDocuments\Temp和另一个过滤器ends with .pdf。

Answer 2

当你有两个这样的过滤器时：

• Path begins with c:\MyApp\MyDocuments\Temp
• Path ends with .pdf

所发生的一切都是从临时文件夹开始的，并且包含了其他任何记录.pdf事件的地方，所以您将得到不想要的结果。像这样的东西：

C:\MyApp\MyDocuments\Temp.txt (not a PDF)
C:\Some\Other\Folder\file.pdf (not the folder I want)

Process帮助文件解释了为什么以过滤器开头/结尾的过滤器不能一起工作。在帮助文件中：

Process Monitor or将与特定属性类型相关的所有筛选器和不同属性类型的and一起筛选。例如，如果指定的进程名称包括Notepad.exe和Cmd.exe的筛选器，以及C:\Windows的路径包含筛选器，则进程监视器将只显示源自Notepad.exe或Cmd.exe的指定C:\Windows目录的事件。

因此，由于过滤器实体是"Path“，对于”开始“和”结束“，进程监视器或它们，因此我们得到我们不想要的噪音。下面是一个过滤器组合，它以我们想要的方式工作：

• Path ends with .pdf Include
• Path excludes C:\MyApp\MyDocuments\Temp Exclude

据我所知，“排除”关系运算符的行为就像“不包含”。我找不到列出所有操作符和操作的任何特定文档，但这是看上去的。因此，即使我们有两个“路径”过滤器将得到OR'd，因为一个是包含的，另一个是排除的，我们得到了我们想要的，这只是PDF的编辑在那个文件路径。