查询Windows事件日志中properties[0]对应值的属性名称（PowerShell）

原代码 #

$log = Get-WinEvent -FilterHashtable @{
    Logname ='System'
    ProviderName = 'Microsoft-Windows-Power-Troubleshooter'
    id = 1
} -Maxevents 1

$log.Properties[0].value

1. properties[0]的含义是什么？ #

• Properties是Get-WinEvent返回的事件对象自带的集合属性，专门存储该日志事件携带的自定义结构化数据。[0]是从零开始的索引，代表这个集合里的第一个数据项。

2. 如何知晓该值的用途？ #

• 有几种直接的方式：
  • 运行$log | Format-List *查看事件的完整元数据，找到Message属性——里面的描述会用占位符对应Properties里的每个值，结合实际值就能理解用途；
  • 打开Windows事件查看器，定位到System日志下的Microsoft-Windows-Power-Troubleshooter事件（ID为1），查看事件的详细描述，里面会明确说明每个属性值的作用；
  • 直接查看$log.Message，这里是填充了Properties值后的完整描述，对比就能对应上值的用途。

3. 如何获取该属性值对应的名称？ #

• 推荐两种实用方法：
  • PowerShell命令方式：执行以下代码获取事件的元数据，直接输出属性名和对应索引：

    $eventMeta = [System.Diagnostics.Eventing.Reader.EventLogSession]::GlobalSession.GetEventMetadata("System", "Microsoft-Windows-Power-Troubleshooter", 1)
    $eventMeta.Properties | Select-Object Name, Index
    

  • 图形界面方式：打开Windows事件查看器，找到目标事件后切换到「详细信息」标签，选择「友好视图」，就能直观看到每个属性的名称和对应值。

4. properties[0]的值对应的属性名称是什么？ #

• 针对Microsoft-Windows-Power-Troubleshooter的事件ID1，Properties[0]对应的属性名称是SleepTransitionReason，它的作用是记录系统进入睡眠状态的具体原因（比如用户手动触发、超时自动进入、应用程序请求等）。

内容的提问来源于stack exchange，提问作者seyo g