可通过四种方式查看Windows Defender威胁记录：一、Windows安全中心图形界面快速查阅；二、PowerShell导出最近30天检测事件日志；三、事件查看器筛选ID为1116/1117/1118的原始日志；四、用MpCmdRun.exe执行扫描并生成XML报告。
如果您需要了解Windows Defender在系统中检测到的威胁及其处理结果，可以通过内置工具查看详细的扫描日志与历史记录。以下是获取这些信息的具体操作步骤：
一、使用Windows安全中心界面查看威胁历史记录
Windows安全中心提供图形化界面，可直接显示近期检测到的威胁、隔离项目及清除状态，无需命令行操作，适合快速查阅。
1、点击任务栏右下角的盾牌图标（Windows 安全中心通知），或通过“开始”菜单搜索并打开Windows 安全中心。
2、在左侧导航栏中点击病毒和威胁防护。
3、向下滚动至“威胁防护历史记录”区域，点击查看详细信息链接。
4、在新页面中可按日期、威胁名称、状态（已删除、已隔离、已允许）筛选并查看每条记录的详细时间、路径、操作类型及威胁类别。
二、通过PowerShell命令导出完整扫描日志
Windows Defender的日志数据实际存储于事件查看器的Microsoft-Windows-Windows Defender/Operational通道中，PowerShell可高效提取并格式化输出，适用于需批量分析或存档的场景。
1、以管理员身份运行PowerShell：右键“开始”按钮 → 选择Windows PowerShell（管理员）或终端（管理员）。
2、执行以下命令查询最近30天内所有威胁检测事件：
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; ID=1116,1117,1118; StartTime=(Get-Date).AddDays(-30)} | Select TimeCreated, Id, Message | Format-List
3、如需将结果保存为文本文件，追加导出指令：
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
| Out-File "$env:USERPROFILE\Desktop\Defender_Threat_Log.txt"
三、使用事件查看器定位原始日志条目
事件查看器保留未经筛选的原始日志，包含进程ID、用户上下文、签名版本等技术细节，适用于深度排查误报或溯源分析。
1、按Win+R键，输入eventvwr.msc并回车。
2、依次展开应用程序和服务日志 → Microsoft → Windows → Windows Defender → Operational。
3、在右侧操作面板点击筛选当前日志，在“事件ID”框中输入1116,1117,1118（分别对应检测、清除、隔离动作）。
4、双击任意事件，在“详细信息”选项卡中切换至XML 查看器，可查看包括ThreatName、Path、ActionTaken在内的完整字段。
四、调用MpCmdRun.exe生成离线扫描报告
MpCmdRun.exe是Windows Defender命令行工具，支持触发即时扫描并强制生成结构化日志文件，适用于验证特定目录是否被扫描或复现检测行为。
1、打开命令提示符（管理员）：按Win+X，选择命令提示符（管理员）。
2、输入以下命令启动快速扫描并生成日志：
"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 1 -Report "C:\Temp\QuickScan_Report.xml"
3、扫描完成后，检查C:\Temp\QuickScan_Report.xml是否存在；若路径不存在，该命令会自动创建目录并写入含时间戳、检测项、处置结果的XML格式报告。
