首先通过事件查看器图形界面导出日志，依次操作：Win+R输入eventvwr.msc打开事件查看器，选择日志类型，右键“将所有事件另存为”，指定路径和格式保存；其次可用命令行wevtutil工具导出，如执行wevtutil epl System C:\system_log.evtx实现批量或远程导出；最后利用PowerShell脚本筛选特定事件，如用Get-WinEvent结合Where-Object按事件ID和时间过滤，并导出为XML或CSV格式文件用于分析。
如果您需要排查系统问题或进行安全审计，查看并导出Windows 10事件查看器中的日志是关键操作。通过事件查看器可以获取应用程序、系统和安全相关的详细记录。
本文运行环境：Dell XPS 13，Windows 10 专业版
一、使用事件查看器界面导出日志
通过图形化界面可以直接选择特定日志条目并将其保存为文件，适用于快速导出当前查看的日志内容。
1、按下 Win + R 键打开“运行”对话框，输入 eventvwr.msc 并按回车，打开事件查看器。
2、在左侧导航窗格中，展开“Windows 日志”，选择要查看的日志类型，例如“系统”、“应用程序”或“安全”。
3、在中间主窗口中浏览日志条目，确认所需日志已正确加载。
4、右键点击所选日志类别（如“系统”），选择“将所有事件另存为”。
5、在弹出的对话框中选择保存路径，输入文件名，并选择保存格式（支持 .evtx、.xml、.csv、.txt）。
6、点击“保存”按钮完成导出操作。
二、通过命令行导出事件日志
使用命令行工具可以实现自动化或远程导出日志，适合批量处理或脚本集成场景。
1、以管理员身份打开命令提示符或 PowerShell 窗口。
2、执行以下命令列出所有可用的日志通道：
wevtutil el
3、选择目标日志通道，例如导出“系统”日志，使用以下命令：
wevtutil epl System C:\system_log.evtx
4、若需导出其他日志类型，替换命令中的“System”为对应名称，如“Application”或“Security”。
5、导出完成后，可在指定路径找到 .evtx 文件，该文件可在其他计算机上用事件查看器打开分析。
三、使用PowerShell脚本筛选并导出特定事件
PowerShell提供了更灵活的查询能力，可基于事件ID、时间范围或级别筛选日志条目。
1、打开 PowerShell（建议以管理员权限运行）。
2、使用 Get-WinEvent 命令结合筛选条件获取目标事件，例如导出最近24小时内事件ID为7000的服务控制管理器日志：
Get-WinEvent -LogName System | Where-Object { $_.Id -eq 7000 -and $_.TimeCreated -gt (Get-Date).AddHours(-24) } | Export-Clixml -Path "C:\service_events.xml"
3、若希望输出为可读性强的 CSV 格式，可使用以下命令：
Get-WinEvent -LogName System | Select-Object TimeCreated, Id, LevelDisplayName, Message | Export-Csv -Path "C:\system_events.csv" -Encoding UTF8 -NoTypeInformation
4、生成的文件可在 Excel 或文本编辑器中打开查看。
