可通过事件查看器筛选安全日志（事件ID 4624、4648）查看微软账户本地登录记录，结合凭据管理器中MicrosoftAccount凭据的最后修改时间，以及PowerShell命令提取最近10次含邮箱的登录时间，综合判断是否被异地登录。
想确认微软账户最近是否在其他设备或地点被登录过，需要绕过网页端的登录活动页面限制，直接调取系统本地记录和云端同步痕迹——因为Windows 11/10会将微软账户的每次交互（包括锁屏唤醒、设置同步触发、OneDrive令牌刷新）写入安全日志与凭据管理器，这些记录比网页版“登录活动”更全、更及时。
查系统安全日志里的微软账户登录事件
按 Win + R 打开运行框，输入 eventvwr.msc 回车，打开事件查看器。
在左侧树形菜单中依次展开：Windows 日志 → 安全。
右键“安全”，选择“筛选当前日志”→ 在“事件ID”栏输入 4624,4648（用英文逗号隔开），点击确定。
筛选后重点看每条记录的“详细信息”选项卡里：TargetUserName 是否为你的微软邮箱前缀（如“zhangsan@outlook.com”），且 LogonType 为 2（交互式） 或 7（解锁屏幕）；LogonType=5（服务登录）或=SYSTEM的记录可直接忽略——【这些不是你本人操作】。
双击某条记录，在“常规”页签下查看“登录时间”和“工作站名”，若“工作站名”为空或显示“-”，说明是本地登录；若显示IP地址（如192.168.1.105），说明是远程或网络触发行为。
查凭据管理器里的活跃令牌
按 Win + R 输入 control.exe /name Microsoft.CredentialManager 回车，打开凭据管理器。
切换到“Windows 凭据”选项卡，向下滚动查找以 MicrosoftAccount\ 开头的条目（例如 MicrosoftAccount\user@outlook.com）。
点开该条目，查看“最后修改时间”——这个时间就是该账户最近一次完成身份验证并缓存令牌的时间，精确到分钟。如果这个时间比你记忆中的最后一次登录早两天以上，说明可能有后台应用（如邮件、日历、OneDrive）在静默刷新凭证。
注意：删除此凭据会导致所有关联应用（Outlook、OneDrive、Windows 设置）退出登录，需重新输入密码——【不要误删】。
用PowerShell快速提取最近10次登录时间
以管理员身份运行 PowerShell（右键开始菜单 → Windows Terminal（管理员））。
粘贴执行以下命令：
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 10 | Where-Object {$_.Properties[5].Value -like "*@*"} | Select-Object TimeCreated, @{Name='User';Expression={$_.Properties[5].Value}} | Format-Table -AutoSize
这条命令会过滤出最近10条含“@”符号的登录记录（排除SYSTEM等系统账户），只显示时间和用户名，跳过冗长消息体。若返回空结果，说明未启用审核策略——需先在“组策略编辑器”中启用“审核登录事件”，普通用户跳过此步即可。
执行完命令后，终端窗口自动显示结果列表。
