WMI筛选器是运行在目标计算机上的实时判断逻辑，依据本地系统状态（如OS版本、设备类型、域角色等）决定GPO是否参与应用；必须用完整字符串比较Version，正确使用PCSystemTypeEx、括号明确多条件逻辑，并注意仅对计算机策略生效。
wmi 筛选器不是“开关”，而是运行在每台目标计算机上的实时判断逻辑——它不依赖 ou 结构或安全组，而是直接读取本地系统状态，决定某个 gpo 是否参与本次策略应用。用得好，能实现版本、设备类型、域角色、硬件特征等多维精准控制；用错一个字符，gpo 就彻底静默。
操作系统版本必须用完整字符串比较
Win32_OperatingSystem.Version 返回的是类似 "10.0.22621" 或 "10.0.26100" 的完整字符串，不是数值，也不支持截断匹配（如 "10.0"）。WQL 中不能写 Version > 10.0 或 Version = "10.0"，这些永远返回 False。
- 正确写法：Version >= "10.0.22621"（字符串字典序比较有效）
- 更稳妥写法：Version LIKE "10.0.22621%"（匹配该版本及同基线所有更新）
- 务必先在目标机查真实值：Get-WmiObject Win32_OperatingSystem | Select Version, Caption
- 客户端与服务器要区分：ProductType = 1（Win10/11）、= 3（成员服务器）、= 2（DC）
设备类型别再用 PCSystemType
PCSystemType 在 Win10/11 上已失效，固定返回 2，无法区分台式机和笔记本。现代系统必须用 PCSystemTypeEx：
- PCSystemTypeEx = 1 → 台式机（Desktop）
- PCSystemTypeEx = 2 → 便携式（Laptop/Tablet）
- PCSystemTypeEx = 3 → 工作站（Workstation）
- 注意：仅 Windows 8.1+ 和 Server 2012 R2+ 支持，老系统需回退到 ChassisTypes
组合条件必须加括号明确逻辑边界
WQL 中 AND 优先级高于 OR，不加括号极易误判。例如想匹配“Win10 22H2 且是域成员工作站”，不能写：
Version LIKE "10.0.19045%" AND DomainRole = 3 OR DomainRole = 4（这会把独立服务器也拉进来）
应写成：
- (Version LIKE "10.0.19045%") AND (DomainRole = 3 OR DomainRole = 4)
- 架构判断推荐用 AddressWidth：SELECT * FROM Win32_Processor WHERE AddressWidth = 64
- 避免混用低效类：Win32_NetworkAdapterConfiguration 会显著拖慢策略刷新，甚至超时失败
调试失败的三个关键检查点
WMI 筛选器不报错但 GPO 不生效，90% 出在这三处：
- 查询语法大小写敏感：Caption LIKE "%Windows 11%" ✅，caption LIKE "%windows 11%" ❌
- 绑定未启用：GPO 属性 → “WMI 筛选”选项卡 → 必须从下拉列表中显式选择过滤器，否则不生效
- 验证方式要对：gpresult /h report.html 查看 “Applied Group Policy Objects”，不是只看链接位置
- 注意：WMI 筛选器只影响计算机策略，对用户配置部分无作用
