XML 查询 Select 日期之后

Question

我一直在浏览各种论坛，试图找出如何将 Windows 事件日志 XML 查询限制在特定日期范围内，但似乎 XML 没有不能很好地使用它。我设置的查询是：

<QueryList>

<Query Id="0" Path="Application">

<Select Path="Application">

*[System[Provider[@Name='Microsoft-Windows-Folder Redirection']

and (Level=2)]]

</Select>

</Query>

</QueryList>

基本上，我只是想了解如何将查询限制在 x 天前和之后。我试图找到具有上述错误的计算机可能会出现问题，如果它们被标记为一年前的错误或其他原因，那对我来说并没有真正的帮助。

任何人都可以给我一些指导吗？

Answer 1

试试这个：

<QueryList>
  <Query Id="0" Path="Application">
    <Select Path="Application">
      *[System[Provider[@Name='Application Hang'] and (Level=2) and (TimeCreated[timediff(@SystemTime) &lt;= 86400000])]]
    </Select>
  </Query>
</QueryList>

这会将其限制为最后一天创建的（即最后 86,400,000 毫秒）。我将提供程序名称更改为 Application Hang，因为我没有任何要针对 Microsoft-Windows-Folder Redirection 进行测试的错误，但您当然可以将其改回该名称。

如果您需要返回超过一天，请使用公式获取毫秒数：

(days) * 24 * 60 * 60 * 1000 = (milliseconds)

参考：https://msdn.microsoft.com/en-us/library/dd996910(VS.85).aspx#limitations

XML 查询 Select 日期之后

XML Query Select After Date

xml

date

event-log