PowerShell使用Get-WinEvent筛选日志时-match与-contains结果差异

两类运算符的设计目标、判断逻辑完全不具备功能等价性，具体差异如下：

-match 运算符的工作逻辑 #

它是正则匹配类运算符，核心作用是校验左侧传入的字符串中，是否存在和右侧正则规则匹配的子串，只要任意位置命中匹配规则就返回成功。
在你的排查场景中，事件对象的Message字段是包含完整事件描述的长文本（即你提到的法语Windows筛选平台事件内容），传入-match后，只要文本任意位置嵌入了52.109.12.19这个子串，判断就会返回True，因此可以正常筛选出符合要求的日志。

-contains 运算符的工作逻辑 #

它从设计之初就不承担字符串子串匹配的功能，核心用途是检查输入的集合/数组中，是否存在和右侧值完全相等的独立元素，判断规则为严格的全值全等匹配，不支持子串、片段级匹配。
你当前的使用场景中，$_.Message是单个连续长字符串，并非拆分后的字符串数组，此时-contains的判断逻辑变为：检查这个完整的事件描述文本是否和你传入的IP字符串完全逐字相等。单条5157事件的Message字段是数百字的完整法语事件描述，内容、长度都和短短一段IP字符串完全不同，判断永远返回False，因此脚本不会返回任何结果。

行为差异直观示例 #

• 执行"法语事件描述：拦截外部连接 目标IP 52.109.12.19" -match "52.109.12.19" → 返回True，子串匹配命中
• 执行"法语事件描述：拦截外部连接 目标IP 52.109.12.19" -contains "52.109.12.19" → 返回False，两个字符串整体不相等
• 执行@("192.168.1.1", "52.109.12.19") -contains "52.109.12.19" → 返回True，匹配数组中的独立元素，符合运算符设计场景

子串匹配的正确替代写法 #

如果不想使用正则匹配的逻辑检索日志内容，可使用以下两种适配子串查找场景的写法：

• 通配符模式匹配：$_.Message -like "*$ip*"
• 字符串原生方法判断：$_.Message.Contains($ip)

内容的提问来源于stack exchange，提问作者Frenchy