如何使用通配符过滤 Windows 事件日志？

Question

根据文件这里，支持星号通配符，因此它应该可以在例如中工作。

*[事件数据[数据[@名称='目标用户名称'] ='用户1*']]

但我无法让任何通配符过滤器工作 - 有人能做到这一点吗？

Answer 1

XPath 选择器必须以 * 开头，但是您不能使用 * 来过滤字段，因为 Xpath 1.0 没有contains运算符。

https://blogs.technet.microsoft.com/askds/2011/09/26/advanced-xml-filtering-in-the-windows-event-viewer/

XPath 1.0 限制：Windows 事件日志支持 XPath 1.0 的子集。查询中可以使用的函数存在限制。例如，您可以在查询中使用position、Band和函数，但目前不支持和等其他函数。timediffstarts-withcontains

Answer 2

使用 Powershell

Get-EventLog -LogName "System" | ?{$_.Message -like "*YourSearchString*"} | Out-GridView