Get-WinEvent技术问题：字段为System.String[]及提取Message第一句

刚好之前处理过类似的Get-WinEvent场景，给你两个问题的具体解决方案：

问题1：移除描述性内容后属性字段显示为System.String[] #

这个情况通常是因为你提取的属性本身是数组类型（比如事件的Properties集合），当你移除描述性字段（比如Message）后，PowerShell默认会直接输出数组的类型标识而非具体值。解决思路是直接提取数组中的具体元素，而不是保留整个数组字段：

举个实际的命令示例，假设你要筛选安全日志中的4624事件，且不想显示Message字段，同时要获取具体的事件属性值：

Get-WinEvent -LogName Security -FilterHashTable @{ID=4624} | 
    Select-Object TimeCreated, ID,
    # 提取Properties数组中的具体元素，对应事件的各个参数
    @{Name='SubjectSID'; Expression={$_.Properties[0].Value}},
    @{Name='SubjectAccountName'; Expression={$_.Properties[1].Value}},
    @{Name='LogonType'; Expression={$_.Properties[8].Value}}

这样就会输出每个属性的实际值，而不是System.String[]。如果你不确定Properties数组中每个索引对应的内容，可以先运行Get-WinEvent -LogName Security -FilterHashTable @{ID=4624} | Select-Object -First 1 -ExpandProperty Properties查看具体映射关系。

问题2：提取Message字段的第一句核心内容 #

针对Message字段中冗余文本过多的问题，我们可以通过字符串拆分来快速提取第一句核心描述。根据你提供的示例，第一句以句号加空格结尾，所以可以用以下方式处理：

Get-WinEvent -LogName Security -FilterHashTable @{ID=4624} | 
    Select-Object TimeCreated, ID,
    @{Name='CoreEventMessage'; Expression={
        # 按". "拆分字符串，取第一个元素就是核心句
        ($_.Message -split '\. ')[0]
    }}

如果你的Message第一句是换行结尾，也可以把拆分符换成\r?\n（兼容Windows和Unix换行），比如：

@{Name='CoreEventMessage'; Expression={($_.Message -split '\r?\n')[0]}}

这样就能精准获取事件的核心描述，过滤掉后面的冗余参数文本。

内容的提问来源于stack exchange，提问作者Peter Core