systeminfo | find "系统启动时间" 直接显示本次开机日期时刻，net statistics workstation | find "自" 输出当前会话格式化运行时长；若后者失败，则用 PowerShell 查事件日志 ID 6005/6006/6008/1074 追溯开关机历史，结合 Recent 和 Prefetch 文件夹验证近期使用痕迹。
你需要在不联网、不依赖云服务、不安装额外驱动的前提下，离线查看电脑自上次开机以来的连续运行时长（uptime），同时排查是否有人在你不知情时使用过这台电脑。
用命令提示符查当前系统运行时长
该方法直接读取内核维护的启动计时器，结果即时可靠，无需联网或日志完整性支撑。
按 Win + R 打开“运行”对话框，输入 cmd 并回车，启动命令提示符。
输入以下命令并回车：systeminfo | find "系统启动时间"——输出中“系统启动时间”右侧即为本次开机的具体日期与时刻。
另起一行输入：net statistics workstation | find "自"，该命令返回工作站服务已持续运行的天数、小时与分钟，是当前会话真实 uptime 的格式化表达。
注意：若返回“找不到”或空白，说明工作站服务被禁用或系统策略限制了该命令访问权限，此时应改用 PowerShell 方案。
用 PowerShell 离线提取开关机历史
此方法不依赖网络，仅调用本地事件日志数据库，可追溯每次开机（ID 6005）、正常关机（ID 6006）、意外断电（ID 6008）及计划重启（ID 1074）的时间戳，适合验证电脑是否曾被非授权使用。
第一步：右键“开始”按钮 → 选择“终端（管理员）”→ 确认 UAC 弹窗。
第二步：执行筛选命令：Get-WinEvent -FilterHashtable @{LogName='System'; ID=6005,6006,6008,1074} -MaxEvents 100 | Sort-Object TimeCreated | Format-Table TimeCreated, Id, Message -AutoSize
第三步：观察输出列表，重点关注时间顺序——若出现 6005 后无对应 6006/1074，而是跳到下一条 6005，则中间存在未记录的关机行为，【极可能被人手动断电或强制关机】。
第四步：复制整段输出，粘贴至记事本保存。.evtx 文件无法在此生成，但纯文本已足够用于比对和归档。
用 Recent 文件夹查最近打开的文档痕迹
这个文件夹由系统自动维护，不依赖网络，也不需要任何软件支持，只要文件曾被双击打开或通过程序关联启动，就会留下快捷方式。
按 Win + R 输入 recent 并回车，系统立即打开“最近使用的项目”文件夹。
里面显示的每个条目都带时间戳，包括文档、图片、表格、PDF、压缩包甚至部分可执行文件——哪怕原文件已被删除或移动，这里的快捷方式仍保留。
注意：若该文件夹为空，不是因为没人用过电脑，而是系统设置关闭了“存储我的活动历史记录”。此时需进入「设置 → 隐私与安全性 → 活动历史记录」手动开启，但该操作本身需联网同步账户，不符合离线前提，故不推荐在此场景启用。
用 Prefetch 文件夹查程序运行痕迹
Prefetch 是 Windows 内置的性能优化机制，所有被运行过的程序都会在此生成缓存文件，文件名即为程序主名称（如 WINWORD.EXE、CHROME.EXE），修改时间即为最近一次启动时间。
打开此电脑 → C盘 → Windows → Prefetch 文件夹。
按“修改日期”倒序排列，顶部几项就是最近高频运行的程序。
方法一：直接看文件名后缀，.pf 表示预取文件，如 QQ.exe-xxxxx.pf 中的 QQ.exe 就是程序名。
方法二：右键任一 .pf 文件 → 属性 → “详细信息”选项卡，查看“上次访问时间”，该时间比“修改日期”更贴近真实运行时刻。
这一步操作起来很简单，直接把文件拖进去就行。但要注意：Windows 会定期自动清理旧的 .pf 文件（默认保留约 128 个），所以超过一周的记录可能已被覆盖。
