powershell 是 windows 日志处理的高效工具，支持将事件日志、iis 日志、csv 等转换为 json、html、标准化 csv 等格式；关键步骤包括：1. 用 get-winevent 精确筛选并导出结构化 json；2. 用 import-csv 或正则解析文本日志并标准化字段；3. 生成带样式的 html 报表或 utf-8 bom csv；4. 结合任务计划实现自动化轮转与错误处理。
powershell 是 windows 日志处理的高效工具，尤其适合将系统日志（如 event log、csv 日志、iis 日志、安全审计日志等）转换为统一、可读或便于分析的格式（如 json、标准化 csv、html 报表、时间序列文本等）。关键在于理解原始日志结构，并用 powershell 的对象化处理能力做字段提取、时间标准化、条件过滤和格式导出。
从 Windows 事件日志导出为结构化 JSON
Windows 事件日志本身是强结构化数据，PowerShell 的 Get-WinEvent 可直接获取对象，无需解析文本。导出为 JSON 时应保留关键字段并规范时间格式：
- 使用
-FilterHashtable精确筛选日志（避免全量拉取性能问题），例如：Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624; StartTime=(Get-Date).AddHours(-24)} - 对每个事件调用
Select-Object提取常用字段，并用ConvertTo-Json输出；注意-Depth 5防止嵌套对象被截断 - 时间字段默认是
DateTime类型，JSON 序列化后自动转为 ISO8601 字符串，无需手动格式化 - 示例导出命令：
Get-WinEvent -FilterHashtable @{LogName='Application'} | Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message | ConvertTo-Json -Depth 3 | Out-File .\applog.json
解析文本型日志（如 IIS、Custom CSV）并标准化字段
IIS 日志或自定义分隔符日志通常为纯文本，需先识别格式再拆解。PowerShell 的 Import-Csv 和正则匹配是主力手段：
- 若日志含标准 CSV 头（如 IIS 启用字段日志），直接用
Import-Csv -Delimiter ' ' -Header ...指定分隔符与列名 - 无头 CSV 或固定宽度日志，可用
Get-Content逐行读取，配合-split或switch -Regex提取字段，再用[PSCustomObject]构造对象 - 关键操作：统一时间字段（如将
2024-05-20 14:23:11转为[datetime]类型）、清理空值、映射状态码为可读描述 - 输出前建议用
Where-Object过滤无效行（如空行、注释行、HTTP 200 以外的请求可选保留）
生成可读 HTML 报表或带样式的 CSV
面向人工查阅的日志，常需增强可读性。PowerShell 不依赖外部模块即可生成基础 HTML 表格，也可用 CSV 添加 UTF-8 BOM 和逗号转义提升 Excel 兼容性：
- HTML 报表：用字符串拼接或 Here-String 构建简单表格框架，管道进
ConvertTo-Html -Fragment生成表格体，再包裹标签 - 导出 CSV 给 Excel：务必加
-Encoding UTF8并前置 BOM（可用[System.Text.Encoding]::UTF8.GetBytes()手动写入），避免中文乱码；字段含逗号/换行时，Export-Csv自动加引号，无需额外处理 - 添加摘要信息（如总条数、错误占比、Top 5 IP）可先用
Group-Object和Measure-Object统计，再插入 HTML 或 CSV 前几行作为备注
自动化日志轮转与定时转换
生产环境需定期处理新日志。PowerShell 脚本可结合 Windows 任务计划程序实现无人值守：
- 脚本开头用
$date = Get-Date -Format 'yyyyMMdd'生成当日标识，用于输出文件名（如security_20240520.json） - 用
Get-ChildItem查找指定目录下未处理的日志文件（如扩展名 .evtx 或 .log），处理后重命名或移动至 “done” 子目录，避免重复执行 - 错误处理不可省略：用
try/catch包裹关键操作，将异常写入$env:TEMP\logconvert-error.log，便于排查 - 任务计划中运行脚本时，务必指定完整路径和执行策略（如
powershell.exe -ExecutionPolicy Bypass -File C:\Scripts\Convert-Logs.ps1）
