如何通过C#编程检查Audit logon events（登录审核事件）设置？

嘿，这个问题问得很到位！要查询Windows系统里Audit logon events的配置状态（不是查看日志哦），你有几个可行的途径，我给你拆解清楚：

Audit logon events的配置确实存在注册表中，但它不是直观的键值对，而是存储在二进制数据里。具体路径是：
HKEY_LOCAL_MACHINE\SECURITY\Policy\PolAdtEv

这个路径下的(Default)值是一个二进制大对象，包含了所有审核策略的配置信息。不过要解析它，你得熟悉Windows安全策略的二进制格式，这门槛有点高，一般不建议直接这么做，除非你对Windows内部机制特别了解。

Windows自带了auditpol.exe命令行工具，可以直接查询审核策略配置。在C#里，你可以通过启动进程调用这个工具，然后解析输出结果，这是最快捷的方式。

举个简单的代码示例（需要管理员权限运行）：

using System;
using System.Diagnostics;
using System.Text;

class AuditLogonConfigChecker
{
    static void Main()
    {
        var processStartInfo = new ProcessStartInfo
        {
            FileName = "auditpol.exe",
            Arguments = "/get /category:\"Logon/Logoff\"",
            RedirectStandardOutput = true,
            UseShellExecute = false,
            CreateNoWindow = true,
            StandardOutputEncoding = Encoding.UTF8
        };

        using (var process = Process.Start(processStartInfo))
        {
            var output = process.StandardOutput.ReadToEnd();
            process.WaitForExit();

            // 解析输出内容，定位到Audit logon events的配置
            var lines = output.Split(new[] { Environment.NewLine }, StringSplitOptions.RemoveEmptyEntries);
            foreach (var line in lines)
            {
                if (line.Contains("Audit logon events"))
                {
                    var parts = line.Split(new[] { ':' }, StringSplitOptions.RemoveEmptyEntries);
                    if (parts.Length >= 2)
                    {
                        var status = parts[1].Trim();
                        Console.WriteLine($"Audit logon events 配置状态: {status}");
                        // 输出会是类似 "Success and Failure"、"Success"、"Failure" 或 "No Auditing"
                    }
                }
            }
        }
    }
}

你也可以通过Windows Management Instrumentation (WMI)来查询，用C#的System.Management命名空间就能实现，不需要调用外部工具。不过这个方法对Windows版本有要求（Vista及以上系统支持）。

示例代码如下：

using System;
using System.Management;

class AuditLogonConfigChecker
{
    static void Main()
    {
        try
        {
            var searcher = new ManagementObjectSearcher(
                "root\\CIMV2",
                "SELECT * FROM Win32_AuditPolicy WHERE AuditPolicyID='Logon'");

            foreach (ManagementObject policy in searcher.Get())
            {
                Console.WriteLine("Audit logon events - 成功审核: {0}", policy["AuditSuccess"]);
                Console.WriteLine("Audit logon events - 失败审核: {0}", policy["AuditFailure"]);
                // 返回值为布尔型：True表示启用，False表示禁用
            }
        }
        catch (ManagementException ex)
        {
            Console.WriteLine("查询出错: " + ex.Message);
        }
    }
}

如果不想折腾复杂的注册表二进制解析，优先选择AuditPol工具调用或者WMI查询，这两种方式在C#里实现简单，结果也可靠。记得运行程序时要以管理员权限启动，否则会因为权限不足读取失败哦。

内容的提问来源于stack exchange，提问作者John Doe