要确认Windows电脑近期登录用户，应查安全日志中ID为4624的事件；若为空需启用“审核登录事件”策略；还可通过query user命令或任务管理器用户选项卡查看当前会话状态；net user命令可列出所有本地账户及最后一次登录时间。
要确认一台Windows电脑近期有哪些用户登录过，不能只看当前谁在用，得查系统留下的登录痕迹——这些记录默认保存在安全事件日志里，只要审核策略开启且日志未被清空，就能回溯真实登录行为。
查安全事件日志里的4624登录事件
这是最权威的登录证据来源，每成功一次交互式或远程登录，系统都会生成一条ID为4624的安全事件，包含用户名、登录类型、源IP、时间戳等完整信息。
第一步：按 Win + X → 选择“事件查看器”。
第二步：在左侧面板依次展开“Windows 日志”→“安全”。
第三步：右侧空白处右键 → “筛选当前日志”。
第四步：在“事件ID”框中输入 【4624】，点击确定。系统立即只显示所有成功登录事件。
注意：如果列表为空，不是没人登录过，而是系统默认可能没开启登录审核。此时需先启用策略：按 Win + R → 输入 secpol.msc → 进入“本地安全策略”→“本地策略”→“审核策略”→双击“审核登录事件”，勾选“成功”，然后重启或运行gpupdate /force刷新策略。
快速识别当前活跃会话和历史断开连接
适用于排查多人共用一台电脑或远程桌面场景，能立刻看到谁还在连着、谁只是断开了但没注销。
方法一：用 query user 命令
按下 Win + R → 输入 cmd → 回车 → 在命令行中输入 【query user】 并回车。
输出中每行代表一个会话，“USERNAME”列是登录名，“STATE”列显示 Active（正在操作）、Disc（已断开但进程仍在）、Listen（等待连接）；当前你正在使用的那条前面带 > 符号。
方法二：用任务管理器用户选项卡
按 Ctrl + Shift + Esc → 切换到“用户”选项卡 → 查看“状态”列：标有“已连接”的是当前图形界面登录者，“已断开”表示该用户曾登录但仅关闭了远程窗口或锁屏后离开，其后台程序仍运行。
列出本机所有曾经创建过的本地账户
这一步不反映“是否登录过”，但能帮你确认哪些账号具备登录资格，尤其适合排查隐藏账户或测试账户是否被他人启用过。
按下 Win + R → 输入 cmd → 回车 → 执行：【net user】。
该命令输出所有启用/禁用的本地账户名，包括 Administrator、Guest 和你手动添加的账号；禁用账户虽不能登录，但如果某天被启用了，它就进入了可登录名单。
若想进一步确认某个账户最后一次登录时间，执行：【net user 账户名】（把“账户名”替换成实际名称），查看“上次登录”字段——这个时间来自该账户自身的登录历史缓存，不一定实时同步，但比没有强。
