无法捕获Win32 TraceLogging事件：技术问题排查求助

问题背景 #

使用微软TraceLoggingProvider的快速入门示例代码，通过MSBuild v143（Visual Studio 2022）编译运行，同时用tracelog工具执行捕获命令，但未捕获到任何事件，使用wrl工具也失败。

示例代码 #

#include <windows.h> // or <wdm.h> for kernel-mode.
#include <winmeta.h> // For event level definitions.
#include <TraceLoggingProvider.h>

TRACELOGGING_DEFINE_PROVIDER( // defines g_hProvider
    g_hProvider, // Name of the provider handle
    "MyCompany.MyComponent", // Human-readable name for the provider
    // {ce5fa4ea-ab00-5402-8b76-9f76ac858fb5}
    (0xce5fa4ea,0xab00,0x5402,0x8b,0x76,0x9f,0x76,0xac,0x85,0x8f,0xb5));

int main(int argc, char* argv[]) // or DriverEntry for kernel-mode.
{
    TraceLoggingRegister(g_hProvider);

    TraceLoggingWrite(
        g_hProvider,
        "MyEvent1",
        TraceLoggingLevel(WINEVENT_LEVEL_WARNING), // Levels defined in <winmeta.h>
        TraceLoggingKeyword(MyEventCategories), // Provider-defined categories
        TraceLoggingString(argv[0], "arg0"), // field name is "arg0"
        TraceLoggingInt32(argc)); // field name is implicitly "argc"

    TraceLoggingUnregister(g_hProvider);
    return 0;
}

使用的tracelog命令 #

启动捕获：

C:\"Program Files (x86)\Windows Kits"\10\bin\10.0.26100.0\x64\tracelog.exe -start TraceLogTest -f TraceLogTest.etl -guid #ce5fa4ea-ab00-5402-8b76-9f76ac858fb5

停止捕获：

C:\"Program Files (x86)\Windows Kits"\10\bin\10.0.26100.0\x64\tracelog.exe -stop TraceLogTest

排查方向与解决方案 #

1. 未定义MyEventCategories关键字 #

代码中TraceLoggingKeyword(MyEventCategories)使用了未定义的宏，编译后默认值为0。而tracelog默认会过滤关键字为0的事件（除非显式指定）。

• 解决：要么定义MyEventCategories为非0值（比如#define MyEventCategories 0x1），要么移除TraceLoggingKeyword参数，或者在tracelog启动命令中添加-kw 0来包含关键字0的事件。

2. 程序退出太快，事件未完成写入 #

TraceLoggingUnregister会立即终止提供者，可能导致事件还没来得及写入ETL文件就被中断。

• 解决：在TraceLoggingUnregister前添加延迟（比如Sleep(1000)），或者改用TraceLoggingUnregisterEx并指定TRACELOGGING_UNREGISTER_WAIT_FOR_FLUSH标志，确保事件完全写入后再退出。

修改后的主函数示例：

int main(int argc, char* argv[])
{
    TraceLoggingRegister(g_hProvider);

    TraceLoggingWrite(
        g_hProvider,
        "MyEvent1",
        TraceLoggingLevel(WINEVENT_LEVEL_WARNING),
        TraceLoggingKeyword(0x1), // 使用明确的非0关键字
        TraceLoggingString(argv[0], "arg0"),
        TraceLoggingInt32(argc));

    // 等待事件刷新
    TraceLoggingUnregisterEx(g_hProvider, TRACELOGGING_UNREGISTER_WAIT_FOR_FLUSH);
    return 0;
}

3. tracelog命令的关键字过滤问题 #

默认情况下，tracelog仅捕获关键字非0的事件，若未修改代码关键字，需在启动命令中显式包含关键字0：

C:\"Program Files (x86)\Windows Kits"\10\bin\10.0.26100.0\x64\tracelog.exe -start TraceLogTest -f TraceLogTest.etl -guid #ce5fa4ea-ab00-5402-8b76-9f76ac858fb5 -kw 0

4. 权限问题 #

运行tracelog需要管理员权限，若未以管理员身份启动命令提示符，可能无法正确注册捕获会话。

• 解决：右键命令提示符，选择“以管理员身份运行”后再执行tracelog命令。

5. 架构不匹配 #

若程序是32位却使用64位tracelog工具（或反之），会出现兼容性问题。需确保编译的程序架构（x86/x64）与tracelog工具架构一致。

• 解决：编译32位程序时，使用对应路径下的32位tracelog（比如...\x86\tracelog.exe）。

6. 验证提供者注册状态 #

通过事件查看器确认提供者是否成功注册：

1. 打开事件查看器，导航到“应用程序和服务日志” -> “Microsoft” -> “Windows” -> “TraceLogging”
2. 查看是否有MyCompany.MyComponent的注册/注销事件，确认程序运行时提供者已正确注册。

内容的提问来源于stack exchange，提问作者naguilera