WPF应用中EventLogSession.ExportLog抛出EventLogNotFoundException问题

问题背景 #

在.NET Framework 4.7.2的WPF应用中，调用以下代码导出本地Application事件日志的错误条目时，抛出System.Diagnostics.Eventing.Reader.EventLogNotFoundException，但相同代码在控制台应用中可正常运行，且已确认：

• Application日志确实存在
• 应用以管理员权限运行
• 导出路径为完整有效路径

报错代码：

/// <summary>
/// Exports only errors from local application event log
/// </summary>
void addWindowsEventLog(String exportPath) {
    const String QUERY_ERRORS = "*[System/Level=2]";
    using (var eventLogSession = new EventLogSession()) {
        eventLogSession.ExportLog("Application", PathType.LogName, QUERY_ERRORS, exportPath);
    }
}

异常堆栈：

System.Diagnostics.Eventing.Reader.EventLogNotFoundException
at System.Diagnostics.Eventing.Reader.EventLogException.Throw(Int32)
at System.Diagnostics.Eventing.Reader.NativeWrapper.EvtExportLog(System.Diagnostics.Eventing.Reader.EventLogHandle, System.String, System.String, System.String, Int32)

核心原因及解决方案 #

1. 会话上下文歧义

WPF与控制台应用的默认EventLogSession初始化上下文存在差异，控制台默认绑定本地会话，而WPF应用可能因UI线程或应用域特性导致会话指向异常。

解决方法：显式指定本地计算机名初始化会话（.代表本地计算机）：

void addWindowsEventLog(String exportPath) {
    const String QUERY_ERRORS = "*[System/Level=2]";
    // 显式传入本地计算机标识，消除上下文歧义
    using (var eventLogSession = new EventLogSession(".")) {
        eventLogSession.ExportLog("Application", PathType.LogName, QUERY_ERRORS, exportPath);
    }
}

2. UAC权限上下文差异

即使以管理员权限启动，WPF应用的UI线程权限令牌可能存在UAC虚拟化残留，影响日志访问。

解决方法：

• 在应用清单中明确配置管理员权限并禁用虚拟化：

<assembly manifestVersion="1.0" xmlns="urn:schemas-microsoft-com:asm.v1">
    <trustInfo xmlns="urn:schemas-microsoft-com:asm.v2">
        <security>
            <requestedPrivileges xmlns="urn:schemas-microsoft-com:asm.v3">
                <requestedExecutionLevel level="requireAdministrator" uiAccess="false" />
            </requestedPrivileges>
        </security>
    </trustInfo>
</assembly>

• 或者在导出前先验证日志可访问性，提前排查：

void addWindowsEventLog(String exportPath) {
    const String QUERY_ERRORS = "*[System/Level=2]";
    using (var eventLogSession = new EventLogSession(".")) {
        // 先验证日志是否可访问
        var logInfo = eventLogSession.GetLogInformation("Application", PathType.LogName);
        if (logInfo != null)
        {
            eventLogSession.ExportLog("Application", PathType.LogName, QUERY_ERRORS, exportPath);
        }
    }
}

3. 查询语法兼容性问题

部分系统环境中，查询字符串*[System/Level=2]可能因日志架构或区域设置出现解析问题。

解决方法：先简化查询导出全部日志，验证基础功能：

void addWindowsEventLog(String exportPath) {
    // 先导出全部日志，排除查询语法影响
    const String QUERY_ALL = "*";
    using (var eventLogSession = new EventLogSession(".")) {
        eventLogSession.ExportLog("Application", PathType.LogName, QUERY_ALL, exportPath);
    }
}

验证步骤 #

1. 优先尝试显式指定本地计算机名的会话初始化方式；
2. 若仍报错，用全量查询测试基础导出功能；
3. 检查应用清单的权限配置是否正确生效。

内容的提问来源于stack exchange，提问作者Mike Bruno