无人值守 Windows 软黑屏：用远程会话状态驱动安全切换

本文结论

远程会话感知的显示守护程序结合连接事件、本地输入、可取消截止时间与失败关闭证据，让无人值守 Windows 工作站保持后台运行并安全黑屏。

一台无人值守的 Windows 工作站可能需要全天运行构建、定时任务和远程访问服务，同时让实体屏幕保持黑暗。普通空闲计时器在本地使用时很直接，远程控制加入后就会产生冲突：远程键盘和指针事件可能点亮屏幕，全局空闲规则也可能在远程操作者仍在工作时再次黑屏。

一次脱敏工作站实践同时出现了这两类问题。手动黑屏可以生效，远程控制客户端的活动却会恢复可见桌面；全局空闲时长也无法判断当前究竟是桌面无人使用，还是存在活动远程会话。

最终方案采用远程会话感知的状态机。它把本地输入、远程连接事件、开机宽限期、断开宽限期和手动请求作为独立信号，并明确各自优先级。这里的“软黑屏”指把亮度降到最低，在所有显示器上覆盖纯黑全屏窗口并隐藏指针，同时保持 Windows 会话和后台进程继续运行。

现象指向缺失的状态模型

第一版实现只响应空闲时间。单一计数器无法回答真正影响策略的问题：

相同的空闲时长可能对应多种互相冲突的状态。只按时间触发会打断远程操作；彻底关闭计时器又会让远程会话结束后的实体屏幕继续亮着。

根因是控制输入不完整。显示策略除了空闲计数，还需要远程连接生命周期和本地输入证据。

守护程序跟随远程控制客户端的追加式连接日志，解析连接与断开标记，维护活动会话计数，只保存安全续接所需的读取游标和运行状态。

信号	状态变化
远程连接建立	取消待执行黑屏，并停止一次性开机动作
最后一个远程连接关闭	启动短暂的断开宽限期，同时记录当前本地输入计数
宽限期内出现本地输入	取消本次待执行黑屏
宽限期内远程连接恢复	取消截止时间并回到远程活动状态
截止时间到达，且没有连接或本地输入	以 `PostRemoteDisconnect` 原因进入软黑屏
收到手动请求	立即进入软黑屏

明确优先级后，状态变化能够保持确定性。活动远程连接总会取消自动截止时间；新的本地输入也会取消断开后的待执行动作。只有两个信号都不存在，计时器才允许触发黑屏。

一次性开机规则采用相同结构。新开机只设置一个截止时间；本地输入会在本次开机周期内永久取消它，远程连接则会接管它。这样可以避免普通空闲计时器反复影响已经有人使用的工作站。

连接日志可能轮换、延迟出现或暂时无法读取。若把“日志不可读”解释成“没有远程会话”，缺失证据就会错误地变成执行黑屏的许可。

守护程序在日志不可用时暂停自动截止时间，并输出限频告警。它通过文件身份跟随轮换后的新日志，等事件源重新可读后再恢复自动判断。手动黑屏不依赖推断出的远程状态，因此仍然可以使用。

这条失败关闭规则也适用于其他自动化：当外部状态决定某个副作用能否执行时，观测缺失应暂停副作用，不能直接映射为看似安全的默认状态。

进入黑屏前，程序先保存当前亮度，再把亮度调到最低，为每个显示器创建无边框、置顶的纯黑窗口，隐藏指针，并记录黑屏已激活。程序只读取系统的最后输入计数，不会截获键盘或鼠标事件。

输入发生变化后，finally 清理路径会关闭全部覆盖窗口，恢复指针和原亮度，清除激活标记，并写入状态变化。守护程序启动时还会检查残留黑屏状态，避免进程中断后亮度长期停留在最低值。

运行状态文件属于证据的一部分，不能单独代表事实。状态检查还要结合近期变化日志和守护进程一起判断，避免进程崩溃后仍把旧的 BlackoutActive 值误报为成功。

确定性自检覆盖了连接标记解析、日志追加、日志轮换、启动后才出现的日志、计划任务参数、当前开机状态，以及显示与电源前置条件。脚本语法和单实例检查也已通过。

关键验收来自一次脱敏的真实远程断开：

这条链路证明了从真实事件到显示副作用的完整边界。单元自检说明解析器和状态变化具备正确行为，现场验证则证明真实客户端日志、截止时间、显示动作和持久状态能够保持一致。

这套方案依赖远程控制客户端提供稳定、可解释的连接事件。客户端升级若改变日志格式，系统应失败关闭并要求更新解析器。并发会话还需要计数或唯一连接身份；简单布尔值可能在多个会话中的一个断开后提前黑屏。

软黑屏用于降低屏幕干扰和可见内容暴露，不能代替安全边界。Windows 会话保持解锁，前台自动化才能继续，本地输入也能恢复显示。设备若位于不可信的物理环境，仍需配置合适的锁定策略、磁盘加密，并单独判断是否接受无人值守 UI 自动化。

可复用结论是把显示黑屏建模为可取消的状态变化：绑定可观察的远程生命周期与本地输入，证据消失时暂停自动动作，恢复过程无条件执行，再用一次真实断开验证从事件到可见状态的完整链路。