使用 C# 读取 Windows 事件日志（Source != ProviderName != SourceName）

Question

我正在使用 C# 读取 Windows 事件日志，并且想从中选择/过滤条目。问题是事件查看器中显示的信息并不总是与我从 c# 获取的数据匹配。

例如：

EventViewer "Source": "User Profile Service"

使用 EventLogEntry 类： Property "Source": "Microsoft-Windows-User Profiles Service"

使用 EventLogReader 类：属性“ProviderName”：“Microsoft-Windows-User Profiles Service”

使用 WMI：“SourceName”：“Microsoft-Windows-User Profiles Service”

我需要能够读取显示的确切信息EventViewer，我可以从哪里获取此信息？

---

读取EventLog消息...

当使用EventLogEntry类读取EventLog消息时，我偶尔会得到以下字符串：

在源“xxx”中找不到事件 ID“xxx”的描述

再次，这与 EventViewer 中显示的消息不匹配...我尝试使用 EventLogReader.FormatDescription() 方法，它给了我正确的（与 EventViewer 相同）消息，但对于某些条目，它仅返回 null，而 EventLogEntry.Message 包含正确的文本。

检索事件消息以获得与事件查看器中显示的消息相同的消息的正确方法是什么？

Answer 1

var eventLog = new EventLog("logName", "machine", "source");
foreach(var entry in eventLog.Entries)
{
}

这是与日志交互的一个相当基本的技巧。如果您需要更深入地过滤该源，您可以在条目上编写 LINQ 查询。如此处所示。

至于该错误，一个常见的原因是没有正确访问相关盒子上的事件和/或注册表。由于您可以在 EventViewer 中看到有问题的数据，因此我怀疑很可能存在权限错误。

Answer 2

事件查看器中“源”列中显示的“源”字符串似乎是缩写的。另外，当您尝试在 C# 中创建 EventLog 时，似乎只有日志类型很重要，例如“应用程序”、“系统”等。创建 EventLog 后，无论您指定的源是什么，它将包含该日志类型的所有条目。

为了获取基于“源”的事件，您需要迭代条目并仅过滤该“源”的条目。请记住，实际的源名称与您在事件查看器中看到的不同。例如，对于源“Winlogon”，实际源名称将为：“Microsoft-Windows-Winlogon”等。