要确认电脑是否被他人登录过，需启用并查看Windows安全日志：先在事件查看器中启用“安全”日志，再筛选事件ID 4624（成功）和4625（失败）登录事件，结合LogonType和源IP分析；也可用PowerShell提取精确时间、IP等字段；或通过计算机管理查看账户“上次登录”时间（精度至分钟）。
要确认电脑是否被他人登录过、排查异常访问行为或验证某次会话的起始时间，必须查看 Windows 系统记录的登录日志，这些日志默认写入“安全”日志，但需启用后才开始积累数据，且普通用户权限无法直接读取全部字段。
用事件查看器打开并启用安全日志
安全日志默认可能处于禁用状态，若右侧列表为空或提示“此日志当前为空”，说明尚未启用，所有后续筛选都将无结果。
按下 Win + R 键打开运行对话框 → 输入 eventvwr.msc 并回车 → 在左侧导航栏中右键点击“安全” → 选择“属性” → 勾选【启用此日志】 → 点击“确定” → 重启电脑使设置生效。
重启后再次打开事件查看器，展开“Windows 日志 → 安全”，此时应能看到带图标的日志条目，表示已正常记录。
筛选成功与失败的登录事件
登录行为由不同事件ID标识，4624代表成功登录，4625代表失败尝试，二者必须同时查看才能完整还原访问轨迹。
方法一：图形界面快速筛选
在“安全”日志右侧空白处单击右键 → 选择“筛选当前日志” → 在“包括事件ID”框中输入 4624,4625 → 勾选“成功审核”和“失败审核” → 点击“确定”。
方法二：按登录类型精确定位
双击任意一条4624事件 → 切换到“详细信息”选项卡 → 展开“EventData”节点 → 查找LogonType字段值：2=本地交互式登录（如键盘输入密码），3=网络登录（如远程桌面、SMB访问），7=解锁屏幕。若发现大量LogonType=3且源IP非内网段，需立即核查远程服务配置。
注意：未勾选“失败审核”策略时，4625事件不会生成，该策略需在“本地安全策略 → 审核策略 → 审核登录事件”中启用，仅限专业版及以上系统。
用PowerShell提取带时间戳的登录记录
PowerShell能绕过图形界面权限限制，直接读取原始字段，尤其适合导出精确到毫秒的时间、源IP和工作站名。
第一步：以管理员身份运行终端
右键点击“开始”按钮 → 选择“终端（管理员）”。
第二步：执行基础查询命令
输入以下命令获取最近20条成功登录：Get-WinEvent -LogName Security -FilterXPath "*[System[(EventID=4624)]]" -MaxEvents 20 | Select-Object TimeCreated, Id, @{Name='User';Expression={$_.Properties[5].Value}}, @{Name='IP';Expression={$_.Properties[18].Value}} | Format-Table -AutoSize
第三步：追加失败登录对比分析
在同一窗口中紧接着执行：Get-WinEvent -LogName Security -FilterXPath "*[System[(EventID=4625)]]" -MaxEvents 10 | Select-Object TimeCreated, @{Name='User';Expression={$_.Properties[5].Value}}, @{Name='IP';Expression={$_.Properties[19].Value}}
若输出中IP字段为空或显示::1，说明是本地控制台尝试；若出现陌生公网IP，需检查RDP端口暴露情况。
查看账户最后一次登录时间（无需日志启用）
该方法不依赖安全日志是否启用，适用于快速核对账户活跃状态，但精度仅到分钟级，且不记录登录类型或来源。
右键“此电脑” → 选择“管理” → 左侧依次展开“系统工具 → 本地用户和组 → 用户” → 双击目标用户名 → 在“常规”选项卡中查看“上次登录”字段。
此时间由系统在每次交互式登录完成时自动更新，若显示为“从未登录”，说明该账户未被使用过或未完成完整登录流程（如仅输入密码但未进入桌面）。
