无需管理员权限导出Windows事件日志并过滤近1小时日志

要实现获取最近一小时的Windows事件日志，核心是修改EvtExportLog方法的查询参数，替换原代码中匹配所有日志的"*"为带时间过滤的XPath表达式。

关键逻辑说明 #

Windows事件日志支持XPath查询语法，我们可以通过System节点下的TimeCreated/@SystemTime属性筛选指定时间范围的日志：

1. 计算当前时间往前推1小时的起始时间
2. 构造匹配该时间点之后日志的XPath查询语句
3. 将查询语句传入EvtExportLog的query参数

修改后的完整代码 #

using System;
using System.Runtime.InteropServices;

class LogFilter
{
    [DllImport("kernel32.dll")]
    static extern uint GetLastError();

    [DllImport("wevtapi.dll", CharSet = CharSet.Unicode, SetLastError = true)]
    [return: MarshalAs(UnmanagedType.Bool)]
    static extern bool EvtExportLog(IntPtr session, string channelPath, string query, string targetFilePath, int flags);

    static void Main()
    {
        // 计算最近一小时的起始时间，转换为事件日志兼容的ISO 8601格式
        DateTime startTime = DateTime.Now.AddHours(-1);
        string timeFilterQuery = $"*[System[TimeCreated[@SystemTime >= '{startTime:o}']]]";

        // 替换"Application"为目标日志频道（如"System""Security"），导出最近一小时日志
        bool success = EvtExportLog(IntPtr.Zero, "Application", timeFilterQuery, @"c:\temp\filtered_app_log.evtx", 1);

        if (!success)
        {
            uint errorCode = GetLastError();
            Console.WriteLine($"导出失败，错误码: {errorCode}");
        }
        else
        {
            Console.WriteLine("日志导出成功");
        }
    }
}

注意事项 #

• 替换代码中的"Application"为你需要过滤的实际日志频道
• 确保目标路径c:\temp\已存在，否则会导出失败
• 注：该方法无需以管理员身份运行

内容的提问来源于stack exchange，提问作者Wrox