在Windows操作系统中，日志是记录系统运行状态、应用程序行为、安全事件等关键信息的重要文件，通过查看日志可以快速定位故障原因、排查安全威胁或监控系统性能，Windows提供了多种查看日志的方式，其中命令行工具因其高效性和灵活性，成为管理员和技术人员的常用选择,以下是几种常用的Windows查看日志的命令及其详细使用方法。
使用Wevtutil命令查看日志
Wevtutil是Windows内置的日志查询命令行工具，功能强大，支持本地或远程日志查询，适用于高级用户，其基本语法为wevtutil {qe|qm|el|gl} [参数]，其中qe（query events）用于查询日志事件，qm（query log）用于管理日志，el（enum logs）用于列出所有日志，gl（get-log）用于获取特定日志的配置信息。
要查询Windows系统日志中最近发生的错误事件，可执行命令：
wevtutil qe System /c:10 /rd:true /f:text
参数说明：/c:10表示返回最近10条事件，/rd:true表示按时间倒序排列，/f:text以文本格式输出结果，若需查看安全日志中的登录失败事件，可使用：
wevtutil qe Security /q:*[System[(EventID=4625)]] /f:text
其中/q参数用于筛选条件,支持XPath语法。
使用Eventcreate命令创建自定义日志
Eventcreate命令允许用户手动创建自定义事件日志，常用于记录脚本执行或应用程序运行状态，其语法为eventcreate /id [ID] /l [日志名称] /t [类型] /d [描述]，创建一个类型为“信息”（information）、ID为1000、描述为“脚本执行完成”的自定义事件：
eventcreate /id 1000 /l Application /t information /d "脚本执行完成"
需注意，该命令需以管理员权限运行，且日志名称需为系统已存在的日志（如Application、System、Security）或自定义日志名称。
使用Typeperf命令监控系统性能日志
Typeperf是性能监控工具，可实时收集性能计数器数据并输出到日志或控制台，其基本语法为typeperf "[计数器路径]" [参数]，监控CPU使用率并每秒记录一次：
typeperf "\Processor(_Total)\% Processor Time" -sc 10
参数-sc 10表示采集10秒数据，结果会以CSV格式输出，若需将数据保存到文件，可添加-o参数：
typeperf "\Memory\Available MBytes" -o C:\perf_log.csv -si 5
表示每5秒记录一次可用内存数据，并保存到C:\perf_log.csv。
使用Get-WinEvent命令（PowerShell）
PowerShell的Get-WinEvent命令功能更强大，支持复杂的日志筛选和对象处理，获取应用程序日志中最近1小时内发生的所有警告事件：
Get-WinEvent -LogName Application -FilterHashtable @{StartTime=[datetime]::Now.AddHours(-1); Level=3}
其中Level=3表示警告级别（0为信息、1为错误、2为严重错误等），若需导出日志到CSV文件，可结合Export-Csv命令：
Get-WinEvent -LogName System | Export-Csv -Path C:\system_log.csv -NoTypeInformation
日志查看辅助工具对比
| 工具名称 | 适用场景 | 优点 | 缺点 |
|---|---|---|---|
| Wevtutil | 本地/远程日志查询，高级筛选 | 支持XPath语法，无需图形界面 | 语法复杂，需一定学习成本 |
| Eventcreate | 创建自定义事件日志 | 灵活记录脚本或应用程序事件 | 仅支持创建，无法查询现有日志 |
| Typeperf | 实时性能数据监控 | 支持多种性能计数器，可导出数据 | 仅限性能相关日志，无法查看系统事件 |
| Get-WinEvent | PowerShell环境下的日志管理 | 功能强大，支持对象操作和管道传输 | 需熟悉PowerShell语法 |
相关问答FAQs
Q1：如何通过命令行快速定位Windows蓝屏错误日志？
A：蓝屏错误通常记录在系统日志的“源”为“BugCheck”的事件中，可使用Wevtutil命令查询：
wevtutil qe System /q:*[System[(EventID=1001)]] /f:text
或使用PowerShell命令：
Get-WinEvent -LogName System | Where-Object {$_.ProviderName -eq "BugCheck"} | Format-List
这些命令会返回蓝屏错误的相关代码和停止原因,便于进一步排查。
Q2：如何查看Windows远程计算机的日志？
A：需确保远程计算机启用“Windows事件日志”服务，且本地账户有权限访问，使用Wevtutil命令时添加/r:参数指定远程计算机名，
wevtutil qe System /r:RemotePC /u:Username /p:Password /c:5 /f:text
其中/u和/p分别为远程计算机的用户名和密码，若使用PowerShell，可运行：
Get-WinEvent -ComputerName RemotePC -LogName Security
但需先通过Enter-PSSession建立远程会话或启用WinRM服务。
