必须通过reportevent配合registereventsource和deregistereventsource写入windows事件日志，不可直接文件操作；需注册事件源、注意unicode编码、权限、字符串格式及句柄管理。
用 ReportEvent 写入Windows事件日志最直接
Windows 事件日志不是普通文件，不能用 fopen 或 std::ofstream 直接写。必须通过 Windows API 的 ReportEvent 函数，配合 RegisterEventSource 和 DeregisterEventSource 使用。它底层调用的是 Windows 事件日志服务（Event Log Service），只有注册过事件源（Event Source）才能写入。
常见错误是跳过注册步骤，直接调用 ReportEvent，结果返回 NULL 或错误码 ERROR_INVALID_HANDLE。注册时传入的名称（如 "MyApp"）会出现在事件查看器的“来源”列，且需在注册表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Application\MyApp 下有对应项——但 RegisterEventSource 会自动创建（前提是进程有管理员权限或已预配置）。
- 必须以 Unicode 编译（
UNICODE和_UNICODE定义），否则ReportEvent可能截断中文消息 - 事件 ID（
wEventID）建议从 1000 起自定义，避开系统保留范围（1–999） -
WORD wType用EVTLOG_ERROR_TYPE、EVTLOG_WARNING_TYPE或EVTLOG_INFORMATION_TYPE，别硬写数字
需要先注册事件源，且注意权限和路径
RegisterEventSource 的第一个参数是机器名，本地写日志传 NULL 或 TEXT(".") 即可；第二个参数是事件源名称，必须和后续写入时一致。如果程序首次运行就调用它，且没有管理员权限，注册会失败（错误码 ERROR_ACCESS_DENIED），因为默认需要写入 HKEY_LOCAL_MACHINE。
绕过权限问题的常用做法：提前用管理员权限运行一次注册脚本，或改用用户态日志（如 Application 日志下子键），但更稳妥的是在安装包里用 reg.exe 预置注册表项：
reg add "HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Application\MyApp" /v "EventMessageFile" /t REG_EXPAND_SZ /d "%SystemRoot%\System32\eventcreate.exe" /f
注意：EventMessageFile 不一定真要指向可执行文件，只要路径合法、有读取权限即可，否则事件查看器显示“找不到消息”。
- 非管理员进程可成功注册并写入 Application 日志，但无法写入 Security 或 System 日志
- 注册失败时，
RegisterEventSource返回NULL，必须检查并GetLastError() - 事件源名称不能含空格或反斜杠，否则注册静默失败
格式化字符串和参数传递容易出错
ReportEvent 的 lpStrings 参数是 LPCWSTR* 类型，即字符串指针数组，不是单个字符串。每个元素对应事件模板里的一个占位符（%1、%2…）。如果传了 NULL 或数组长度（wNumStrings）与实际数量不匹配，事件会写入失败或显示乱码。
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
例如想写 “User john logged in from 192.168.1.100”，需构造：
const WCHAR* strings[] = { L"john", L"192.168.1.100" };
ReportEvent(hEventLog, EVENTLOG_INFORMATION_TYPE, 0, 1001, NULL, 2, 0, strings, NULL);
其中 1001 是事件 ID，需在资源文件或文档中约定好含义。
- 所有字符串必须是宽字符（
L"..."），混用char*会导致崩溃或乱码 -
lpRawData和dwRawDataSize大部分场景传NULL和0即可，除非要附带二进制数据 - 事件查看器默认只显示前 32766 字符，超长内容会被截断，不要指望写大段日志
记得关闭句柄，否则泄漏资源
每次 RegisterEventSource 返回的有效句柄，必须配对调用 DeregisterEventSource。虽然进程退出时系统会自动清理，但在长期运行的服务或 DLL 中不释放，会导致句柄泄漏，最终 RegisterEventSource 开始返回 NULL。
典型模式是：模块初始化时注册，退出时注销；或者函数内成对使用（适合短生命周期的日志写入）：
HANDLE h = RegisterEventSource(NULL, L"MyApp");
if (h) {
ReportEvent(h, ...);
DeregisterEventSource(h); // 这行不能漏
}
更安全的做法是把句柄封装在 RAII 类里，但 C++ 标准库没提供现成封装，得自己写简单 wrapper。
- 多次调用
RegisterEventSource同一名称，返回的是新句柄，旧句柄仍需单独关闭 - 在多线程环境里，多个线程共用一个句柄是安全的，但共用一个注册句柄再并发写入没问题，不用额外加锁
- 如果程序频繁写日志（比如每秒几十次），建议缓存句柄，避免反复注册/注销开销
真正麻烦的不是调用 API，而是注册表项缺失、权限不足、字符串编码不对这三类问题——它们不会报编译错误，但让日志无声消失。调试时先用 GetLastError() 检查每一步返回值，比盯着事件查看器空等强得多。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
