如何在Windows命令行实现类似tail -f的事件日志流式查看？

Windows内置工具可以实现类似Unix tail -f 的实时事件日志监控，以下是几种原生方案：

方案一：PowerShell事件订阅（最可靠的实时推送方式） #

通过Register-WinEvent订阅指定日志的实时事件，无需轮询，新事件产生时立即触发输出：

# 订阅系统日志的实时事件，可替换LogName为其他日志（如Application、Security）
$eventSub = Register-WinEvent -LogName System -SourceIdentifier "RealTimeLogTail"
try {
    while ($true) {
        $newEvent = Wait-Event -SourceIdentifier "RealTimeLogTail" -Timeout 1
        if ($newEvent) {
            # 格式化输出关键字段，可按需调整显示内容
            $newEvent.SourceEventArgs.NewEvent | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -AutoSize
            Remove-Event -EventIdentifier $newEvent.EventIdentifier
        }
    }
}
finally {
    # 终止脚本时清理订阅
    Unregister-Event -SourceIdentifier "RealTimeLogTail"
}

方案二：PowerShell轮询拉取（简单易实现） #

适合快速测试，通过定期拉取最新日志并过滤未显示过的条目：

$lastRecordId = $null
# 监控Application日志，可替换为System、Security等
$targetLog = "Application"

while ($true) {
    # 每次拉取最新10条日志，按时间正序排列
    $events = Get-WinEvent -LogName $targetLog -MaxEvents 10 -ErrorAction SilentlyContinue | Sort-Object TimeCreated
    foreach ($event in $events) {
        if ($event.RecordId -ne $lastRecordId) {
            $event | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -AutoSize
            $lastRecordId = $event.RecordId
        }
    }
    # 每2秒轮询一次，可调整间隔
    Start-Sleep -Seconds 2
}

方案三：原生CMD工具wevtutil（兼容命令提示符） #

使用Windows内置的wevtutil命令行工具，结合CMD脚本实现实时监控：

@echo off
setlocal enabledelayedexpansion
set "targetLog=System"
set "lastRecord=0"

:loop
:: 拉取最新10条日志并写入临时文件
wevtutil qe %targetLog% /c:10 /rd:true /f:text | findstr /v "^$" > "%temp%\event_temp.log"

:: 解析临时文件中的事件记录ID，筛选新事件
for /f "delims=" %%a in ("%temp%\event_temp.log") do (
    set "line=%%a"
    if "!line:~0,10!"=="EventRecordID" (
        set "currentRecord=!line:~15!"
        if !currentRecord! gtr !lastRecord! (
            set "lastRecord=!currentRecord!"
            :: 输出对应ID的事件详情
            wevtutil qe %targetLog% /id:!currentRecord! /f:text
            echo.
        )
    )
)

:: 等待2秒后继续轮询
timeout /t 2 /nobreak > nul
goto loop

旧版Windows兼容方案（Windows 7及更早） #

对于不支持Get-WinEvent的系统，可使用Get-EventLog命令：

$lastIndex = (Get-EventLog -LogName System -Newest 1).Index
while ($true) {
    $events = Get-EventLog -LogName System -After (Get-Date).AddSeconds(-2)
    foreach ($event in $events) {
        if ($event.Index -gt $lastIndex) {
            $event | Select-Object TimeGenerated, EventID, EntryType, Message | Format-Table -AutoSize
            $lastIndex = $event.Index
        }
    }
    Start-Sleep -Seconds 2
}

内容的提问来源于stack exchange，提问作者morpheus