直接读取 .evtx 文件需要 EventLogReader，不能用 FileStream 解析
Windows 事件日志（
.evtx）是二进制格式，不是纯文本或 XML 文件。试图用
File.ReadAllText或
XmlDocument.Load直接打开会抛出异常，比如：
System.Xml.XmlException: Root element is missing或乱码字节流。必须通过 Windows 提供的托管 API ——
System.Diagnostics.Eventing.Reader命名空间中的类来访问。
注意：
.evt（旧版 Windows XP/2003 格式）已不被 .NET Core/.NET 5+ 原生支持；
EventLogReader仅支持
.evtx。若需处理
.evt，得调用非托管 API（如
wevtapi.dll）或转存为
.evtx。 确保目标机器安装了 .NET Framework 3.5+（
EventLogReader在此版本引入），或 .NET Core 3.1+ / .NET 5+（需引用
System.Diagnostics.EventLogNuGet 包） 程序需有读取日志文件的权限：本地运行时建议以管理员身份启动；读取远程日志还需开启 WinRM 或配置事件日志转发
.evtx文件被系统占用时（如正在写入的系统日志），直接指定路径会抛
UnauthorizedAccessException；应改用日志名称（如
"Security"）让系统自动定位并加锁管理
用 EventLogReader 读取本地 .evtx 文件（离线解析）
离线场景（比如分析导出的
app.evtx）必须用
Path构造
EventLogQuery，再传给
EventLogReader。关键点在于路径必须是绝对路径，且扩展名要小写（
.evtx），大写（
.EVTX）在某些系统上会失败。
示例代码片段：
string evtxPath = @"C:\temp\app.evtx";
var query = new EventLogQuery(evtxPath, PathType.FilePath);
using var reader = new EventLogReader(query);
for (EventRecord eventInstance = reader.ReadEvent(); eventInstance != null; eventInstance = reader.ReadEvent())
{
Console.WriteLine($"ID={eventInstance.Id}, Level={eventInstance.LevelDisplayName}, Time={eventInstance.TimeCreated}");
}
不要用 new EventLogQuery("Application", PathType.LogName) 混淆——那是查实时日志，不是文件
ReadEvent()是单次读取；若需分页或跳过前 N 条，用
reader.Seek()（需配合
EventBookmark） 字段如
eventInstance.Properties是延迟加载的，访问前先确认
eventInstance.Properties.Count > 0，否则可能触发
InvalidOperationException
解析事件内容：XML 字符串 vs 强类型属性
EventRecord提供两种内容访问方式：
toXML()返回完整 XML 字符串（含
<event></event>根节点），而
Id、
LevelDisplayName、
TimeCreated等是预解析的强类型属性。前者灵活但慢，后者快但字段有限。 常用强类型字段足够应付大多数筛选：如
eventInstance.Id == 4624（登录成功）、
eventInstance.Level == EventLevel.Informational想提取自定义字段（如
TargetUserName、
IpAddress），必须解析
eventInstance.ToXml()或遍历
eventInstance.Properties；注意
Properties索引顺序不固定，推荐按
Name查找而非硬编码下标 XML 解析推荐用
XDocument.Parse(eventInstance.ToXml())，避免正则匹配；但频繁调用
ToXml()会显著降低吞吐量，建议只对命中条件的事件解析
权限与部署陷阱：EventLogReader 在服务中跑不起来？
在 Windows 服务、IIS 或非交互式上下文里，
EventLogReader可能静默失败或抛
System.ComponentModel.Win32Exception: Access is denied，即使代码里加了 try-catch 也捕获不到——因为底层 COM 调用未正确初始化安全上下文。 服务账户必须属于
Event Log Readers组（不能只靠 Administrators）；运行
net localgroup "Event Log Readers" "NT SERVICE\YourServiceName" /addIIS 应用池身份设为
ApplicationPoolIdentity时，默认无事件日志读取权；改用自定义域账户并加入
Event Log Readers组 若仍报错，检查注册表项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Security的
RestrictGuestAccess是否为 1（启用限制），此时需显式授权
真正难调试的是跨平台混淆：.NET 6+ 自带的
System.Diagnostics.EventLog包在 Linux/macOS 上完全不可用，编译通过但运行时报
PlatformNotSupportedException。只要涉及事件日志，就得锁定 Windows 平台部署。
