openeventlog 和 readeventlog 用于读取传统 windows 事件日志（如 application、system），不操作物理 .evtx 文件；需正确传入日志名，注意 nnumberofrecords 指字节数而非条数，eventlogrecord 需按 length 跳转；vista+ 新日志须用 evtquery/evtnext 等新 api。
用 OpenEventLog 和 ReadEventLog 读取本地事件日志
Windows 事件日志不能用标准 C++ I/O 或跨平台库直接访问，必须调用 Windows API。核心是 OpenEventLog 打开日志句柄，再用 ReadEventLog 拉取记录。注意：这两个函数操作的是“日志文件的逻辑视图”，不是物理文件（如 C:\Windows\System32\winevt\Logs\ 下的 .evtx），也不需要解析二进制格式。
常见错误是传错日志名："Application"、"System"、"Security" 是合法名称，但 "Application.log" 或全路径会失败；另外，32 位程序在 64 位系统上默认看不到 Microsoft-Windows-xxx 等新式日志（它们属于 ETW，需用不同 API）。
-
OpenEventLog第二个参数传"Application"即可打开应用日志；若为NULL，则使用本机名，通常可省略 -
ReadEventLog的nNumberOfRecords参数实际是“最多读多少字节”，不是“多少条记录”，容易误设为 1 导致只返回部分数据 - 返回的
EVENTLOGRECORD是变长结构，需用Length字段跳转到下一条，不能简单指针 ++
用 EvtQuery + EvtNext 读取现代 Windows 事件（Vista+）
从 Windows Vista 开始，传统事件日志（EventLog API）已逐步被 Windows Event Log（EVTX）取代。OpenEventLog 无法读取 Applications and Services Logs 下的日志（如 Microsoft-Windows-Dhcp-Client/Operational），必须用新的 Evt API。
关键点在于查询表达式语法和上下文管理：EvtQuery 返回一个句柄，后续所有读取都依赖它；EvtNext 返回的是 EVT_HANDLE 数组，每条是一个独立事件句柄，必须逐个用 EvtRender 解析，不能直接 cast 成结构体。
- 查询字符串如
"*[System[(Level 可过滤错误和警告，注意 XML 转义（<code> 不能写成 <code>） - 调用
EvtRender前必须先用EvtGetEventInformation或指定EvtRenderEventXml格式，否则返回空或崩溃 -
EvtQuery默认不包含历史归档日志（.evtx 文件），需显式加EvtQueryChannelPath或设置EvtQueryTolerateInvalidQueries标志处理不存在的日志
权限问题：为什么 OpenEventLog 返回 NULL 或 EvtQuery 失败
读取 Security 日志或某些服务日志时，即使以管理员身份运行，仍可能失败——这不是代码 bug，而是 Windows 安全策略限制。
【做什么】纯 Windows 只读存储分析 — 扫描 12+ 组目标（含 Installer/ProgramData/回收站）→ 三灯分级(🟢可自动清/🟡需判断/🔴建议卸载)→ 交互式 HTML 报告 + 本地服务一键删。 【何时用】用户抱怨磁盘空间不足、要求清理/分析/查看空间占用、想知道什么东西吃硬盘。 【触发词】磁盘满了/C盘满了/D盘满了/空间不够/清理空间/清理磁盘/清理C盘/占空间/ 存储分析/磁盘分析/看一下存储/电脑空间/storage analysis/disk cleanup/清缓存/
OpenEventLog 对 Security 日志要求进程拥有 SeSecurityPrivilege 权限，而普通管理员账户默认不启用该权限；EvtQuery 则依赖用户对目标日志的 ACL 访问控制（可通过 wevtutil gl "Security" 查看）。
- 用
AdjustTokenPrivileges启用SeSecurityPrivilege前，必须先用LookupPrivilegeValue获取 LUID，且仅对当前进程 token 有效 -
wevtutil sl "Application" /ca:O:BAG:SYD:(A;;0x1;;;BA)可重置日志 ACL（需管理员权限），但生产环境慎用 - 开发调试时，优先选
Application或自定义日志（用wevtutil im注册），避开权限坑
解析事件内容：别硬解 EVENTLOGRECORD 字段偏移
传统 API 返回的 EVENTLOGRECORD 中，StringOffset、DataOffset 是相对于结构起始地址的偏移量，但实际内存布局受对齐影响，直接指针运算极易越界或读错。更可靠的方式是用 FormatMessage + ReportEvent 的消息 DLL 机制还原描述文本。
对于 Evt API，强烈建议用 EvtRender 输出 XML（EvtRenderEventXml），再用轻量 XML 解析器（如 tinyxml2 或 Windows 自带 IXmlReader）提取 EventID、Level、TimeCreated、Message 等字段。硬解析二进制结构既不可靠又难维护。
-
FormatMessage需提前知道事件源名（SourceName）和消息 DLL 路径（常位于%SystemRoot%\System32），否则返回空字符串 -
EvtRender输出的 XML 包含完整命名空间，XPath 查询要带上xmlns前缀，或先用RemoveNamespace清理 - 时间戳字段（
TimeCreated/@SystemTime）是 ISO8601 格式，不是 FILETIME，别用FileTimeToSystemTime直接转换
真正麻烦的不是调用哪个函数，而是日志来源混杂：旧服务用 EventLog API 写，新组件走 ETW + EVTX，第三方软件可能两者都用。同一事件在不同 API 下字段含义、时间精度、甚至 EventID 编码规则都可能不同。动手前，先用 eventvwr.msc 确认目标日志属于哪一类，再选对应 API。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
