OpenBackupEventLog 函数意外返回 ERROR_FILE_NOT_FOUND

Question

我正在尝试使用 OpenBackupEventLog 函数，但是我不断得到 ERROR_FILE_NOT_FOUND（错误代码 2 ）即使文件确实存在。

我的 P/Invoke 声明/调用该文件的点是：

[DllImport("advapi32.dll", SetLastError = true, ExactSpelling = false, EntryPoint = "OpenBackupEventLog")]
public static extern IntPtr OpenBackupEventLog(
    [MarshalAs(UnmanagedType.LPTStr)]string uncServerName,
    [MarshalAs(UnmanagedType.LPTStr)]string fileName);

IntPtr ptr = NativeMethods.OpenBackupEventLog(null, filename);
if (ptr == IntPtr.Zero && File.Exists(filename))
{
    // This exception is thrown and so the file does exist
    throw new Win32Exception(string.Format("Failed to open event log archive '{0}'", filename));
}

请注意，这是在 x86 进程内。

我唯一能想到的是，问题在于 Unicode / ANSI 编组（之前我记得得到了 ERROR_INVALID_PARAMETER ），但是我已经仔细检查过，并且使用编组没有效果。

为什么无法打开文件/我该如何诊断？

Answer 1

[DllImport("advapi32.dll", ..., EntryPoint = "OpenBackupEventLog")]

EntryPoint 属性是您的问题的根源。导出的函数名称为 OpenBackupEventLogA 和 OpenBackupEventLogW。该函数分别有 ANSI 和 Unicode 版本。您的声明将使用 ANSI 版本，因为您没有指定 CharSet 属性。

当 ExactSpelling = false（默认值）时，pinvoke 编组器可以自动查找 A 和 W 版本。但当您明确指定名称时则不然。

使用 ANSI 版本没有意义，请使用 CharSet.Auto 并省略 EntryPoint。 MarshalAs 也是不必要的，字符串已经被编组为 LPTStr。因此：

[DllImport("advapi32.dll", CharSet = CharSet.Auto, SetLastError = true)]
public static extern IntPtr OpenBackupEventLog(string uncServerName, string fileName);

Answer 2

由于这是 64 位操作系统，并且您正在使用 32 位应用程序访问文件，因此导致此异常的最可能原因是操作系统非常“有帮助”自动重定向请求到 System 目录（C:\Windows\system，例如）到 SysWOW64 目录 C:\Windows\SysWOW64。

幸运的是，有一个内置的解决方法： sysnative< /a> 目录。

生成文件名的路径时，请使用类似于以下内容的内容：

string filePath = @"%WINDIR%\sysnative\winevt\logs\mylog.evtx";

但是，仅当您将应用程序保留为 32 位应用程序时才执行此操作。它将无法正确解析为 64 位应用程序。

Answer 3

这是一个 encoding Unicode 与 ANSI 问题 - 我似乎设法让它以某种方式再次开始工作，但后来意识到它返回的是 ANSI 字符串而不是 UNICODE 字符串 - 显然我不小心开始使用这些函数的 ANSI 版本是没有好处的。

它现在使用以下 PInvoke 声明

[DllImport("advapi32.dll", SetLastError = true, CharSet = CharSet.Unicode, EntryPoint = "OpenBackupEventLogW")]
public static extern EventLogHandle OpenBackupEventLog(
    string uncServerName, 
    string fileName);

关键点是我：

• 删除了 MarshalAs 属性
• 将 CharSet = CharSet.Unicdoe 参数添加到我的 DllImport > 声明
• 在入口点名称的末尾添加了 W

请注意，如果我从入口点名称的末尾删除 W，只要 s CharSet = CharSet.Unicdoe ，它似乎也可以工作。参数在那里。