如何在C语言中向Windows事件查看器写入XML格式日志？

问题分析 #

你当前使用的是旧版Windows Event Log API（RegisterEventSource/ReportEvent），这种方式只能基于.mc消息文件生成文本型日志：General标签的内容来自消息模板填充参数，而Details标签的XML是系统自动生成的固定格式，无法自定义结构化数据——你传入的XML字符串只会被当作普通文本显示在General里，不会被解析为Details的XML节点。

要实现你需要的效果（General显示友好文本，Details显示自定义结构化XML），必须使用新版Windows Event Log API（WEvTAPI），它支持结构化事件日志，能自定义Details中的XML结构。

解决方案步骤 #

1. 编写事件清单（Event Manifest） #

事件清单是XML格式的配置文件（后缀.man），用来定义事件发布者、事件模板、结构化数据字段。示例如下：

<?xml version="1.0" encoding="UTF-8"?>
<instrumentationManifest
    xmlns="http://schemas.microsoft.com/win/2004/08/events"
    xmlns:win="http://manifests.microsoft.com/win/2004/08/windows/events"
    xmlns:xs="http://www.w3.org/2001/XMLSchema">

    <instrumentation>
        <events>
            <provider name="CommandLinePublisher"
                      guid="{YOUR-GUID-HERE}"  <!-- 替换为你自己生成的GUID，可用guidgen.exe生成 -->
                      resourceFileName="%SystemRoot%\System32\kernel32.dll" <!-- 无需本地化可直接用系统DLL -->
                      messageFileName="%SystemRoot%\System32\kernel32.dll"
                      symbol="CommandLinePublisher">

                <events>
                    <event value="1001" version="0" level="win:Informational"
                           opcode="win:Info" task="0" keyword="win:None">
                        <message>Command executed: %1. Path: %2.</message>
                        <data name="Command" inType="win:UnicodeString" outType="xs:string"/>
                        <data name="Path" inType="win:UnicodeString" outType="xs:string"/>
                    </event>
                </events>
            </provider>
        </events>
    </instrumentation>

    <localization>
        <resources culture="en-US">
            <stringTable>
                <string id="CommandLinePublisher">Command Line Event Publisher</string>
            </stringTable>
        </resources>
    </localization>
</instrumentationManifest>

2. 注册事件清单 #

以管理员身份打开命令提示符，执行以下命令安装清单：

wevtutil im YourEventManifest.man

如需卸载，执行：

wevtutil um YourEventManifest.man

3. 编写C代码提交结构化事件 #

使用WEvTAPI函数提交包含结构化数据的事件，示例代码：

#include <windows.h>
#include <winevt.h>
#include <stdio.h>

#pragma comment(lib, "wevtapi.lib")

int main() {
    LPWSTR publisherName = L"CommandLinePublisher";
    EVT_HANDLE publisherMetadata = NULL;
    EVT_HANDLE eventMetadata = NULL;
    EVT_HANDLE event = NULL;
    BOOL status;

    // 打开发布者元数据
    publisherMetadata = EvtOpenPublisherMetadata(NULL, publisherName, NULL, 0, 0);
    if (publisherMetadata == NULL) {
        fprintf(stderr, "EvtOpenPublisherMetadata failed: %lu\n", GetLastError());
        goto cleanup;
    }

    // 创建事件元数据（指定事件ID 1001）
    eventMetadata = EvtCreateEventMetadata(publisherMetadata, 1001, 0);
    if (eventMetadata == NULL) {
        fprintf(stderr, "EvtCreateEventMetadata failed: %lu\n", GetLastError());
        goto cleanup;
    }

    // 设置结构化数据字段
    LPWSTR command = L"cd";
    LPWSTR path = L"/usr/bin";
    status = EvtSetEventMetadataProperty(eventMetadata, EvtEventMetadataData, 0, command);
    if (!status) {
        fprintf(stderr, "EvtSetEventMetadataProperty (Command) failed: %lu\n", GetLastError());
        goto cleanup;
    }
    status = EvtSetEventMetadataProperty(eventMetadata, EvtEventMetadataData, 1, path);
    if (!status) {
        fprintf(stderr, "EvtSetEventMetadataProperty (Path) failed: %lu\n", GetLastError());
        goto cleanup;
    }

    // 创建事件
    event = EvtCreateEvent(eventMetadata, NULL);
    if (event == NULL) {
        fprintf(stderr, "EvtCreateEvent failed: %lu\n", GetLastError());
        goto cleanup;
    }

    // 发布事件
    status = EvtPublishEvent(NULL, event);
    if (!status) {
        fprintf(stderr, "EvtPublishEvent failed: %lu\n", GetLastError());
        goto cleanup;
    }

    printf("Event logged successfully.\n");

cleanup:
    if (event) EvtClose(event);
    if (eventMetadata) EvtClose(eventMetadata);
    if (publisherMetadata) EvtClose(publisherMetadata);
    return 0;
}

效果说明 #

• General标签：会显示事件清单中定义的message内容，自动填充参数（如Command executed: cd. Path: /usr/bin.）。
• Details标签：会生成结构化XML，包含你定义的Command和Path字段，类似：

<EventData>
  <Data Name="Command">cd</Data>
  <Data Name="Path">/usr/bin</Data>
</EventData>

注意事项 #

• 注册事件清单需要管理员权限。
• 编译代码时需链接wevtapi.lib库。
• 如果需要多语言支持，需将消息字符串编译到自定义资源DLL中，并在清单中指定正确的resourceFileName和messageFileName。

内容的提问来源于stack exchange，提问作者Justin