自定义视图与 XML 过滤
事件查看器的「自定义视图」能把常用过滤条件固化成 XML 并导出分发：把服务崩溃、磁盘错误、登录失败这些巡检条件做成视图，一线同事不用自己写 XPath 就能看到关键事件。同一条条件也能直接交给 Get-WinEvent -FilterXPath 或 wevtutil 在命令行复用，图形界面与脚本走的是同一套过滤语言。
基本信息
| 适用平台 | Windows 客户端与服务器的事件查看器 |
|---|---|
| 图形位置 | 事件查看器 - 自定义视图 - 创建自定义视图 |
| 导出导入 | 右键导出自定义视图得到 XML |
| 命令行等价 | Get-WinEvent -FilterXPath、wevtutil qe /q: |
| 内容性质 | 视图 XML 只是过滤器，不含事件数据 |
典型使用场景
- 把严重与错误级事件做成视图，值班时一眼看到重点
- 为服务崩溃、磁盘错误、登录失败各建一个视图并分发给一线
- 导出自定义视图 XML，作为团队标准巡检资产统一维护
- 把界面里调好的过滤条件搬到脚本里，实现无人值守巡检
- 临时排查某类事件时快速过滤，不必反复手填条件
- 统一多个机房机器的巡检条件，避免口径不一致
常用示例
常用示例
:: 图形：事件查看器 - 自定义视图 - 创建自定义视图 - 按事件 ID 或提供程序筛选
:: 建好后右键 - 导出自定义视图，得到可复用的 XML
:: 命令行等价条件（最近 10 条严重与错误级事件）：
wevtutil qe System /q:"*[System[(Level=1 or Level=2)]]" /rd:true /c:10 /f:text
:: PowerShell 方式：
Get-WinEvent -LogName System -FilterXPath '*[System[(Level=1 or Level=2)]]' -MaxEvents 10方式对比
| 方式 | 适用场景 | 产出 |
|---|---|---|
| 图形自定义视图 | 人工巡检与值班 | 可点击查看的视图 |
| 导出 XML | 分发给其他机器复用 | 过滤器资产文件 |
| FilterXPath | 脚本化巡检 | 结构化事件对象 |
| wevtutil qe | 纯 cmd 环境 | 文本或 XML 输出 |
导出的视图 XML 只包含过滤条件，不包含事件数据，因此体积很小，可以放心放进版本库或分发包里跨机器复用。
XML 条件里绑定了通道名与时间表达式，跨操作系统版本复用前先在本机验证一次，避免通道名差异导致视图打开后是空的。