如何筛选Select-Object输出，返回符合ID条件的单一表格结果？

问题背景 #

原本使用以下命令获取系统日志的前40条记录，通过Select-Object避免结果按ProviderName分组，得到单一表格：

Get-WinEvent -LogName 'System' -MaxEvents 40 | Select-Object TimeCreated, ID, ProviderName, LevelDisplayName, Message | Format-Table -AutoSize

需要筛选出ID为41、1074、6006、6008的前40条结果，但尝试在管道中加入Where-Object后，结果又出现了按ProviderName分组的情况，无法保持单一表格形式。

解决方法 #

方法一：调整管道顺序，精准筛选后取前N条 #

使用-in替代-match进行精准匹配（避免字符串匹配导致的误判），先筛选所有符合ID条件的事件，再取前40条，最后指定属性并格式化表格：

Get-WinEvent -LogName 'System' | 
    Where-Object { $_.ID -in 41, 1074, 6006, 6008 } | 
    Select-Object -First 40 TimeCreated, ID, ProviderName, LevelDisplayName, Message | 
    Format-Table -AutoSize

方法二：使用-FilterHashtable高效筛选（推荐） #

Get-WinEvent支持通过-FilterHashtable在读取日志时直接筛选，效率更高且不会出现分组问题：

Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    ID = 41, 1074, 6006, 6008
} -MaxEvents 40 | 
    Select-Object TimeCreated, ID, ProviderName, LevelDisplayName, Message | 
    Format-Table -AutoSize

关键说明 #

• 之前出现分组的原因：若先取40条再筛选，剩余结果可能触发PowerShell的默认分组格式化，但只要最后通过Format-Table -AutoSize强制表格输出，即可保持单一表格形式。
• 优先使用-in而非-match：ID是数字类型，-in针对集合精准匹配，避免-match字符串匹配可能带来的错误（比如匹配到ID为141的记录）。
• -FilterHashtable是Get-WinEvent的原生筛选方式，比后续用Where-Object过滤效率更高，因为它在日志读取阶段就完成筛选，无需加载所有日志记录。

内容的提问来源于stack exchange，提问作者LangerNZ