必须导出结构完整、时间精确、含原始事件ID和元数据的.evtx文件，禁用截图或纯文本复制；Windows支持事件查看器（直观零命令，右键“系统”选“将所有事件另存为”，格式必选.evtx）和PowerShell（管理员运行wevtutil精准截取时间范围）。
要生成一份可用于故障复盘、安全审计或提交技术支持的电脑系统运行日志报告，必须导出结构完整、时间精确、含原始事件ID和元数据的日志文件，不能仅截图或复制文字。Windows原生支持多种导出路径，每种对应不同使用场景和权限要求。
用事件查看器导出完整系统日志
这是最直观、零命令基础的操作方式，适合临时取证或快速存档，导出的.evtx文件可双击在任意Windows电脑上用事件查看器打开，保留全部筛选条件与时间戳。
按下 Win + R → 输入 eventvwr.msc → 回车启动事件查看器。
在左侧面板依次展开 Windows 日志 → 系统，右键单击“系统”节点。
选择“将所有事件另存为…”，注意不是“将已筛选的日志另存为”，后者只导出当前视图结果，会丢失未显示的上下文事件。
保存类型必须选 Windows 事件日志 (*.evtx)，文件名建议包含日期，例如 System_20260723.evtx。这一步漏选格式会导致后续无法用标准工具解析。
用PowerShell导出带时间范围的精简日志
当只需最近24小时或某次异常时段的记录时，图形界面导出会混入大量无关条目，PowerShell可精准截取并直接生成标准.evtx文件，避免人工筛选误差。
以管理员身份运行 PowerShell：右键开始按钮 → 选择“终端（管理员）”。
执行以下命令导出过去48小时的系统日志：
wevtutil qe System /q:"*[System[TimeCreated[timediff(@SystemTime)
其中 172800000 是毫秒数（48×60×60×1000），数值写错会导致导出为空或超出预期范围；/ow:true 表示覆盖同名文件，防止因磁盘空间不足中断。
导出完成后，文件自动保存在 C:\ 目录下，双击即可用事件查看器打开验证内容完整性。
用wevtutil批量导出多类日志
若需同时获取系统、安全、应用程序三类日志用于交叉分析（例如排查提权行为或服务崩溃链），命令行方式比逐个右键操作更高效，且支持脚本化调用。
以管理员身份运行 CMD 或 PowerShell。
先确认可用日志名称：执行 wevtutil el，核对输出中是否包含 System、Security、Application。
依次执行以下三条命令：
wevtutil epl System C:\Logs\System.evtx
wevtutil epl Security C:\Logs\Security.evtx
wevtutil epl Application C:\Logs\Application.evtx
【C:\Logs\ 目录必须提前手动创建】，否则命令会报错终止，且不会自动建夹。每条命令单独回车执行，不要合并成一行。
