如何通过PowerShell获取指定EventLog事件条目总数并赋值给变量

Get-WinEvent 完全可以实现该需求，无需依赖额外工具，根据统计场景可选择对应实现方式，性能差异较大：

统计日志全量条目总数 #

优先使用读取日志元数据的方式，不需要遍历单条事件，哪怕单份日志存储了几十万条记录，也可以毫秒级返回统计结果：

# 将值替换为你需要查询的目标日志名，常见内置日志包括System、Application、Security、Setup
$targetLogName = "System"
$eventTotalCount = (Get-WinEvent -ListLog $targetLogName).RecordCount

执行完成后，统计得到的总条目数会直接存入$eventTotalCount变量，可直接在后续逻辑中调用。

统计符合筛选规则的条目数 #

如果需要统计指定时间范围、指定事件ID、指定事件来源的部分条目，可以传入筛选条件拉取匹配事件后取计数，注意添加错误静默参数，避免无匹配结果时命令抛出异常：

# 示例：统计系统日志中最近24小时内ID为1074的用户主动关机事件总数
$filterRule = @{
    LogName = "System"
    Id = 1074
    StartTime = (Get-Date).AddDays(-1)
}
$filteredEventCount = (Get-WinEvent -FilterHashtable $filterRule -ErrorAction SilentlyContinue).Count

注意事项 #

• 统计全量条目时不要使用(Get-WinEvent -LogName $targetLogName).Count的写法，该写法会拉取所有事件对象到内存后再计数，日志量大时会占用极高内存、耗时极长
• 查询Security安全日志时，需要提前以管理员身份启动PowerShell，否则会因权限不足无法读取日志数据
• 当筛选条件无匹配事件时，Get-WinEvent默认会抛出终止错误，添加-ErrorAction SilentlyContinue参数后，空结果的Count值会返回0，逻辑运行更稳定

内容的提问来源于stack exchange，提问作者SpiesserFreak