如何在macOS 14中通过纯C编程查询历史屏幕解锁事件？

完全可行，macOS Sonoma会将屏幕解锁事件记录到统一日志系统（Unified Logging System）中，你可以通过纯C代码调用Apple提供的os_log系列C API提取这些历史日志，无需依赖Objective-C或NSNotification。

关键背景 #

屏幕解锁事件属于系统登录窗口（loginwindow）的操作日志，统一日志系统会保存这类事件的详细记录，包括触发时间、操作用户等信息。不同于last(1)读取的/var/log/wtmp（仅记录用户登录会话），解锁事件需要从统一日志中提取。

纯C实现步骤 #

1. 验证日志存在性 #

你可以先通过终端命令确认解锁日志的存在：

log show --predicate 'subsystem == "com.apple.loginwindow" AND eventMessage contains "Session unlocked"' --style compact --last 7d

2. 纯C代码示例 #

以下是基于os_log C API的极简实现，用于提取历史解锁事件：

#include <os/log.h>
#include <os/log_entry.h>
#include <stdio.h>
#include <stdlib.h>

int main() {
    // 创建谓词，定位屏幕解锁事件
    os_log_predicate_t predicate = os_log_predicate_create("subsystem == \"com.apple.loginwindow\" AND eventMessage contains \"Session unlocked\"");
    if (!predicate) {
        fprintf(stderr, "Failed to create predicate\n");
        return 1;
    }

    // 设置查询时间范围：最近7天
    os_log_time_range_t time_range = os_log_time_range_create_with_start(os_log_time_now(), -7*24*60*60);
    os_log_filter_t filter = os_log_filter_create(predicate, time_range);
    
    // 释放临时资源
    os_log_predicate_release(predicate);
    os_log_time_range_release(time_range);

    // 复制符合条件的日志条目
    os_log_entry_list_t entries = os_log_copy_entries(filter);
    os_log_filter_release(filter);
    if (!entries) {
        fprintf(stderr, "Failed to fetch log entries\n");
        return 1;
    }

    // 遍历并输出日志
    uint64_t entry_count = os_log_entry_list_get_count(entries);
    for (uint64_t i = 0; i < entry_count; i++) {
        os_log_entry_t entry = os_log_entry_list_get_entry(entries, i);
        const char *msg = os_log_entry_get_message(entry);
        os_log_time_t timestamp = os_log_entry_get_timestamp(entry);
        
        char time_buf[256];
        os_log_time_format(timestamp, OS_LOG_TIME_FORMAT_ISO8601, time_buf, sizeof(time_buf));
        printf("[%s] %s\n", time_buf, msg ? msg : "No event message");
        
        os_log_entry_release(entry);
    }

    os_log_entry_list_release(entries);
    return 0;
}

3. 编译与运行 #

用Clang编译代码：

clang -o unlock_history unlock_history.c -loslog

运行前需确保终端拥有完全磁盘访问权限（系统设置 > 隐私与安全性 > 完全磁盘访问，添加终端），否则可能无法读取完整的系统日志。

注意事项 #

• 统一日志的保留时长由系统磁盘空间和设置决定，默认会保留数天到数月的记录。
• Sonoma中Session unlocked的事件消息标识是稳定的，无需担心版本兼容问题。
• 代码仅依赖系统自带的os_log库，无额外依赖，适合纯终端应用场景。

内容的提问来源于stack exchange，提问作者user237251