如何通过后台应用收集主应用未处理异常？Windows异常存储位置咨询

嘿，针对你的问题，我刚好在做类似的后台监控系统时研究过，给你详细说说～

首先明确回答你的核心疑问：Windows确实会自动存储未处理异常的信息，最主要的位置就是系统自带的事件查看器，具体细节如下：

一、Windows默认的异常存储位置 #

• 应用程序日志：绝大多数用户态程序抛出的未处理异常，都会被Windows系统捕获并写入「事件查看器 -> Windows日志 -> 应用程序日志」中。你可以在这里找到标记为Application Error的事件，里面会包含异常代码、崩溃进程的ID、出错的模块路径、甚至部分调用栈信息，足够用来定位主应用的崩溃原因。
• 系统日志（少数情况）：如果主应用的异常涉及到系统驱动或内核级别的问题，可能会出现在「系统日志」里，但你的场景是普通主应用，大概率还是在应用程序日志里。

二、后台应用如何收集这些异常 #

如果你想让后台监控应用自动获取这些异常，可以这么做：

• 直接读取事件日志：用Windows原生API（比如OpenEventLog、ReadEventLog）或者借助编程语言的封装类（比如.NET里的System.Diagnostics.EventLog），监听或轮询应用程序日志，筛选出属于你的主应用的异常事件。注意后台应用需要有读取事件日志的权限，一般本地管理员权限就能满足。
• 更高效的方案：如果主应用是你们自己开发的，其实可以在主应用里直接添加未处理异常捕获逻辑——比如在.NET中监听AppDomain.UnhandledException事件，在Win32程序里设置SetUnhandledExceptionFilter回调，当异常发生时直接把完整的异常信息（包括自定义上下文、调用栈）发送给后台监控应用，这样比从系统日志里读取更及时，信息也更完整。

小提示 #

如果主应用是第三方程序无法修改代码，那读取系统事件日志就是最靠谱的方案；如果是自研程序，优先在代码里主动上报异常，监控效率会高很多。

内容的提问来源于stack exchange，提问作者Andrea