PowerShell导出事件日志更灵活，支持按条件筛选、批量处理和自动化：可导出为CSV（便于Excel分析）或通过wevtutil生成标准.evtx文件；但Get-WinEvent无法原生生成.evtx，Export-Clixml输出的是PowerShell专用格式。
用 powershell 导出事件查看器日志比图形界面更灵活，尤其适合按条件筛选、批量处理或自动化保存。它能导出为 .evtx（保留全部原始结构）或 csv（方便 excel 查看和统计），关键在于用对命令和参数。
导出完整日志为 .evtx 文件
此方式等效于图形界面“另存全部事件”，文件可被其他 Windows 机器的事件查看器直接打开，含时间戳、事件ID、XML 数据等全部元数据。
- 以管理员身份运行 PowerShell
- 执行命令： Get-WinEvent -LogName 'System' | Export-Clixml -Path "C:\logs\system_full.xml" 注意：Export-Clixml 生成的是 PowerShell 专用二进制格式，不是标准 .evtx；如需真 .evtx，请改用 wevtutil 或 GUI
- 若坚持用 PowerShell 输出标准 .evtx，实际不可行——PowerShell 无原生命令生成 .evtx；推荐用 wevtutil epl System C:\logs\system.evtx 替代
导出筛选后的事件为 CSV（适合分析）
CSV 格式便于用 Excel 排序、去重、条件高亮，但会丢失部分结构化字段（如完整 XML）。建议只导出常用字段，并注意编码和换行问题。
- 导出最近 5000 条应用程序日志，含时间、ID、级别、来源和消息： Get-WinEvent -LogName 'Application' -MaxEvents 5000 | Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message | Export-Csv -Path "C:\logs\app_recent.csv" -NoTypeInformation -Encoding UTF8
- 导出系统日志中过去 48 小时的所有错误（Level=2）和警告（Level=3）： Get-WinEvent -FilterHashtable @{LogName='System'; Level=2,3; StartTime=(Get-Date).AddHours(-48)} | Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message | Export-Csv -Path "C:\logs\system_errors_warnings.csv" -NoTypeInformation -Encoding UTF8
- 提示：Message 字段可能含换行符或逗号，务必用 Excel 打开，不要用记事本；如需保留完整内容，改用 ConvertTo-Json 或 Export-Clixml
导出特定事件 ID 或来源的日志
定位问题时，常需提取某类行为（如服务崩溃、驱动加载失败），直接按 EventID 或 ProviderName 过滤最高效。
- 导出所有蓝屏相关事件（常见 ID：41、1001、1003）： Get-WinEvent -FilterHashtable @{LogName='System'; Id=41,1001,1003} | Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message | Export-Csv "C:\logs\crash_events.csv" -NoTypeInformation -Encoding UTF8
- 导出 Windows PowerShell 的操作记录（该日志位于“应用程序和服务日志”下）： Get-WinEvent -LogName 'Windows PowerShell' -MaxEvents 1000 | Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message | Export-Csv "C:\logs\ps_log.csv" -NoTypeInformation -Encoding UTF8
- 注意：PowerShell 日志不在 Windows 日志主目录下，必须用完整 LogName，不能简写为 'PowerShell'
导出远程计算机的日志
无需登录目标机器，只要网络连通且有权限，就能拉取日志，适合集中排查多台设备。
- 从名为 “WS01” 的远程电脑导出其系统日志最近 100 条错误： Get-WinEvent -ComputerName 'WS01' -FilterHashtable @{LogName='System'; Level=2; MaxEvents=100} | Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message | Export-Csv "C:\logs\ws01_errors.csv" -NoTypeInformation -Encoding UTF8
- 前提：目标机器开启 WinRM（winrm quickconfig），当前账户在远程机器上有本地管理员权限，防火墙放行 5985 端口
- 如遇访问拒绝，可加 -Credential (Get-Credential) 手动输入远程管理员账号
