咨询Windows Event Log的XPath 1.0子集缺失特性及额外支持特性

明确缺失的XPath 1.0特性 #

• 核心函数大幅受限：仅支持contains()字符串匹配函数，其余XPath 1.0核心函数均不支持，包括但不限于：
  • 字符串处理类：starts-with()、ends-with()、substring()、concat()
  • 数值计算类：sum()、floor()、ceiling()、round()
  • 节点集操作类：count()、union()、intersect()
  • 逻辑判断类：not()（仅极个别场景有限支持，多数情况下失效）
• 轴（Axes）支持范围极小：仅允许使用child轴（可简写为直接子节点名）和attribute轴（可简写为@），完全不支持parent、ancestor、following-sibling、preceding等其他轴的使用
• 变量与命名空间完全不支持：无法使用XPath 1.0的$var变量语法；也不支持通过命名空间前缀查询跨命名空间的节点，即使事件日志包含命名空间也无法指定
• 路径与谓词逻辑限制：多层嵌套的and/or逻辑组合易出现解析错误；仅支持从根节点开始的绝对路径，无法使用相对路径遍历节点层级

支持的XPath 1.0以外的特性 #

• 事件字段快捷语法：针对事件日志的标准字段提供简化节点名，无需写完整路径，比如直接用EventID代替System/EventID，Level代替System/Level
• 通配符扩展匹配：允许在节点名位置使用*通配符匹配任意类型的事件节点，例如*[System/EventID=4624]可匹配所有包含ID为4624的事件
• 时间字段自动解析：直接支持对TimeCreated/@SystemTime字段进行日期时间字符串比较，系统会自动识别ISO格式的时间字符串，无需额外函数转换
• 数值范围简化匹配：针对事件日志的数值型字段（如EventID、Level），支持直接使用>、<、>=、<=进行范围比较，无需复杂函数嵌套

内容的提问来源于stack exchange，提问作者cachius