必须读取安全日志中事件ID为4624的记录，因其完整包含成功登录的用户名、源IP、登录类型（如10代表远程桌面）及时间等关键信息，是确认近期用户登录行为最直接、通用且权威的依据。
要确认某台Windows电脑近期有哪些用户成功登录过、从哪里登录、用了什么方式，必须直接读取系统安全日志，因为Windows不主动保存登录快照，所有原始记录只存在于“安全”日志中且依赖审核策略是否开启。
用事件查看器筛选4624事件查成功登录
这是最通用、无需额外配置就能立刻上手的方法，适用于所有已启用默认登录审核的Windows 10/11设备（家庭版除外，需专业版或企业版）。
按下 Win + R，输入 eventvwr.msc，回车打开事件查看器。
在左侧导航栏依次展开：Windows 日志 → 安全。
右键“安全”日志空白处，选择“筛选当前日志”。
在“事件ID”框中输入 4624，点击确定——这一步必须做，否则列表里混着成千上万条无关日志，根本无法定位登录行为。
筛选后出现的每一条都是成功登录记录。双击任意一条，在“常规”选项卡下能看到登录时间；切换到“详细信息”→“事件数据”，可展开看到第5项是用户名、第8项是登录类型（2=本地键盘鼠标、3=网络访问、10=远程桌面）、第11项是工作站名、第18项是源IP地址（对域环境或远程登录尤其关键）。
用PowerShell快速提取并格式化登录信息
适合需要导出、比对或批量分析的场景，命令执行后直接生成表格，比手动翻日志省时十倍以上。
方法一：查最近24小时所有4624事件
以管理员身份运行 PowerShell，执行：
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624; StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, @{n='User';e={$_.Properties[5].Value}}, @{n='LogonType';e={$_.Properties[8].Value}}, @{n='SourceIP';e={$_.Properties[18].Value}} | Format-Table -AutoSize
方法二：精准锁定某用户名（如 Administrator）
执行：
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} | Where-Object {$_.Properties[5].Value -eq 'Administrator'} | Select-Object TimeCreated, @{n='Workstation';e={$_.Properties[11].Value}}, @{n='LogonType';e={$_.Properties[8].Value}} | Format-Table -AutoSize
【注意】PowerShell中Properties索引位置固定不可改：5=账户名、8=登录类型、11=工作站、18=源IP，填错索引会返回空值或报错。
通过计算机管理看“最后一次登录时间”
这个方法最快，但信息极度简略——它只显示每个账户在本机最后一次成功登录的精确时间点，不体现次数、IP、方式，也不记录失败尝试。
第一步：右键“此电脑”→“管理”
第二步：左侧树形菜单展开“系统工具”→“本地用户和组”→“用户”
第三步：在右侧列表中双击目标用户名
第四步：在弹出的属性窗口“常规”选项卡中，找到“上次登录”字段，其值即为该账户在本机的最终登录时刻。
该字段仅对本地账户有效；若电脑已加入域，此处显示的是该账户**在本机**而非域控制器上的最后登录时间，与域级登录历史无直接关联。
