PowerShell中无法使用Where-Object查询嵌套的SharePoint AuditData

核心问题根源 #

CSV文件里的AuditData字段存的是JSON格式的字符串，不是原生的PowerShell对象，所以直接用$_.AuditData.CreatedDate这种方式根本访问不到嵌套属性。

具体解决步骤 #

1. 导入CSV并解析JSON字段 #

先把CSV文件导入，再把每条数据里的AuditData字段转换成PowerShell能识别的对象：

# 替换成你的CSV文件路径
$auditCsv = Import-Csv -Path "你的审计数据文件.csv"

# 逐条解析AuditData为JSON对象
$processedData = $auditCsv | ForEach-Object {
    # 将JSON字符串转成PowerShell可操作的对象
    $_.AuditData = $_.AuditData | ConvertFrom-Json
    # 返回处理后的整条数据
    $_
}

2. 正常查询嵌套字段 #

现在就能直接用嵌套属性筛选或查询了，举几个常用例子：

筛选指定日期后的记录

# 筛选CreatedDate在2024年1月1日之后的条目
$filteredByDate = $processedData | Where-Object {
    $_.AuditData.CreatedDate -gt [DateTime]"2024-01-01"
}

筛选特定操作类型的记录

比如只保留文件访问日志：

$fileAccessLogs = $processedData | Where-Object {
    $_.AuditData.Operation -eq "FileAccessed"
}

3. 处理JSON格式错误的情况 #

如果部分AuditData字段有格式问题，解析时会报错，可以加个错误捕获：

$processedData = $auditCsv | ForEach-Object {
    try {
        $_.AuditData = $_.AuditData | ConvertFrom-Json -ErrorAction Stop
        $_
    }
    catch {
        Write-Warning "无法解析条目ID $($_.Id)的AuditData：$_"
    }
}

内容的提问来源于stack exchange，提问作者Leighton Morris