如何使用EvtQuery()获取多条EventID为5379的Windows安全日志事件？

• 验证XPATH查询准确性
  直接用事件查看器测试你的XPATH语句：打开Security日志，右键选择「筛选当前日志」，切换到「XML」标签，粘贴你的查询语句并应用。如果事件查看器也只能查到一条5379事件，说明XPATH存在问题——比如可能误加了时间范围限制，或者EventID的匹配写法错误。正确的5379事件筛选语句应为*[System[EventID=5379]]，Vista及以后系统需注意命名空间，若XML有命名空间前缀，要对应调整语句。

• 检查EvtNext调用参数与错误码
  每次调用EvtNext()后必须检查返回值和GetLastError()：

  • 确认EventsReturned参数是否设置了合理的缓冲区大小（不要仅设为1），若每次只请求1条，需确保循环持续调用直到EvtNext()返回ERROR_NO_MORE_ITEMS；
  • Timeout参数建议设为INFINITE，避免因超时提前终止；
  • 若EvtNext()返回FALSE，除了ERROR_NO_MORE_ITEMS是正常结束，其他错误（如ERROR_INSUFFICIENT_BUFFER、ERROR_INVALID_PARAMETER）都要针对性排查参数或资源问题。

• 确认事件句柄的生命周期
  检查EvtQuery()返回的查询句柄是否有效，循环过程中是否意外关闭了该句柄。另外，每次通过EvtNext()获取到事件句柄后，必须调用EvtClose()释放资源，否则可能导致资源耗尽，后续EvtNext()调用失败。

• 排查循环逻辑漏洞
  检查代码中的循环条件，是否在处理完第一条事件后错误执行了break或return导致循环终止，而非继续调用EvtNext()。

• 隔离筛选条件测试
  暂时移除XPATH筛选，直接调用EvtQuery()查询Security日志的所有事件，测试循环调用EvtNext()是否能遍历多条事件。如果可以，说明问题确实出在XPATH语句；如果仍只能获取一条，需排查API调用逻辑或系统环境问题。

内容的提问来源于stack exchange，提问作者LFMekz