c# - 如何在 C# 中获取所有 Windows 事件日志(事件查看器日志)及其层次结构和友好名称的列表

Question

我正在尝试从事件查看器中复制以下内容:

我在一些事情上遇到了麻烦。

1. 我取回的一些名称不是显示名称或友好名称。例如，对于“Microsoft Office 警报”，我只返回“OAlerts”。我怎样才能从“OAlerts”获得完整的“Microsoft Office 警报”？

2. 找出层次结构。看来我所能做的就是解析破折号并做出某种最佳猜测。 API 中似乎没有一种简单的方法来解决这个问题。 GetLogNames 只是为您提供所有日志的简单列表

   EventLogSession session = new EventLogSession();
   List<string> logNames = new List<string>(session.GetLogNames());
   foreach (string name in logNames)
   {
       //EventLogConfiguration config = new EventLogConfiguration(name); //looks useful but doesn't give me any of the info i'm looking for.
   
      Console.WriteLine(name);
   }  
   

Answer 1

此博客在这里:The EventSource NuGet package and support for the Windows Event Log (Channel Support)有一个罕见的 EventSource User's Guide 的链接说明这一点的文件:

Do use the EventSourceAttribute’s Name property to provide a descriptive, qualified name for the ETW event provider represented by your event source. The default is the short name of your event source type, which can easily lead to collisions, as ETW provider names share one machine-wide namespace. An example of a good provider name “<CompanyName>-<Product>-<Component>”. Following this 3-element convention will ensure Event Viewer displays your event logs in a logical folder hierarchy: “Application and Services Logs/<CompanyName>/<Product>/<Component>”.

这往往表明破折号更像是一种约定而不是严格的要求(所以我相信你可以自己解析它)。请注意，该博客仍开放征求意见。

至于不匹配的名称，有一个未记录的 EvtIntGetClassicLogDisplayName 函数可以让您在事件查看器中显示名称。以下是如何将它与 session 和日志名称一起使用:

    static void Main(string[] args)
    {
        var session = new EventLogSession();
        foreach (string name in session.GetLogNames())
        {
            Console.WriteLine(GetDisplayName(session, name));
        }
    }

这里是支持代码(因为它没有记录，使用风险自负，而且它似乎主要用于这个“OAlert”条目，所以我不确定它是否值得):

    public static string GetDisplayName(EventLogSession session, string logName)
    {
        var sb = new StringBuilder(512);
        int bufferUsed = 0;
        if (EvtIntGetClassicLogDisplayName(GetSessionHandle(session).DangerousGetHandle(), logName, 0, 0, sb.Capacity, sb, out bufferUsed))
            return sb.ToString();

        return logName;
    }

    private static SafeHandle GetSessionHandle(EventLogSession session)
    {
        return (SafeHandle)session.GetType().GetProperty("Handle", BindingFlags.Instance | BindingFlags.NonPublic).GetValue(session);
    }

    [DllImport("wevtapi.dll", CharSet = CharSet.Unicode)]
    private static extern bool EvtIntGetClassicLogDisplayName(IntPtr session, [MarshalAs(UnmanagedType.LPWStr)] string logName, int locale, int flags, int bufferSize, [MarshalAs(UnmanagedType.LPWStr)] StringBuilder displayName, out int bufferUsed);