“事件查看器日志文件另存为 XML”仅保存 305 条记录答案

【问题标题】：'Event viewer log files save as XML' saves only 305 records“事件查看器日志文件另存为 XML”仅保存 305 条记录
【发布时间】：2014-10-26 05:10:45
【问题描述】：

我的事件查看器中有 1450 个事件日志。

当我使用日期过滤它时，比如从 2014 年 8 月 25 日到 2014 年 8 月 31 日，它会减少到 774。当我尝试通过选择“将事件文件另存为”然后选择 XML 作为文件类型将日志文件保存为 XML 时，它只保存最后的 305 条记录。

当我将其保存为 csv 时，我可以看到保存的所有 774 个事件。当我尝试将 1450 的完整列表保存为 XML 时，它会保存所有日志。该问题仅在应用日期过滤器时出现。

有什么想法吗？

【问题讨论】：

哇。我以为我疯了。我正在尝试将 8,000 个事件导出为 CSV。当我打开 CSV 文件时，它只有 305 条记录。有没有人解开这个谜题？

标签： xml windows xpath event-viewer

【解决方案1】：

有一个有趣的解决方法：

Save All Events As... 并保存到 .evtx
打开保存的文件
Save All Events As... 并保存到 .csv / .xml ...

(source) 至少，这适用于 Windows 10 x64 版本 1709。

问题本身显然是一个错误，您可以在反馈中心投票让他们修复它：for normal users、for insiders。

【讨论】：

多么愚蠢的错误！建议的解决方法效果很好！
2020年5月Bug依然存在，尴尬。解决方法仍然有效。
保存 XPath 过滤日志时，我只有 50 个事件。当我遵循解决方法时，我得到了 305 个事件。比以前更好，但实际上过滤的 1225 个事件没有。

【解决方案2】：

如果你检查过滤器中的 xml 部分，我们有类似的东西

<QueryList>
  <Query Id="0" Path="Application">
    <Select Path="Application">*[System[(Level=2) and TimeCreated[timediff(@SystemTime) &lt;= 3600000]]]</Select>
  </Query>
</QueryList>

基本上这是应用过滤器的那个。你能检查一下那些行，如果没有，你的条目是否会被丢弃？

【讨论】：

是的，你是对的，那就是适用于过滤器的那个，但查询中没有任何内容限制要导出的日志数（保存到 xml 时）
好的，这种情况下我们需要分步调试。因此，您能否发布完整 xml 的小 sn-p 以及您认为缺少的条目。我们可以尝试找出丢失的模式，例如在 350 条条目之后是否是所有内容、任何特定类型的内容等等。我会在完整和过滤的 xml 上使用超越比较来首先查看缺少的内容并识别模式。
我想这个问题可以重现，如果你的日志中有超过 350 个事件条目，只需按日期过滤它们，比如从前天到今天，这个过滤结果应该输出超过 350 个事件记录，然后尝试将其保存为 xml