get-winevent -filterxpath与select-xml

Question

我试图通过在select-xml和Get-WinEvent尝试相同的事情来更好地理解xpath。 但是某些Get-WinEvent模式在Select-Xml似乎不起作用。 我得到：

表达式必须计算为节点集

如果我输入“ |”，它会起作用 而不是第一个“和”。 我从Windows日志中制作了一个xml文件。 我猜您不能在第二个命令中“和”两个路径？ 我想应该是

*[System[EventID=4624] and EventData[Data [@Name='TargetUserName'] and Data='testuser']]

但是Get-WinEvent更宽容。

# works ok (login event)
Get-WinEvent Security -FilterXPath "*[System[EventID=4624]] and 
  *[EventData[Data[@Name='TargetUserName'] and Data='testuser']]"

# error
# "| select -expand node" if you want the xml object
select-xml "*[System[EventID=4624]] and 
  *[EventData[Data [@Name='TargetUserName'] and Data='testuser']]" event.xml

select-xml : Expression must evaluate to a node-set.
At line:1 char:2
+ select-xml "*[System[EventID=4624]] and *[EventData[Data [@Name='Tar ...
+  ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
     + CategoryInfo          : NotSpecified: (:) [Select-Xml], XPathException
     + FullyQualifiedErrorId : System.Xml.XPath.XPathException,Microsoft.PowerShell.Commands.SelectXmlCommand

这是一个简化的event.xml：

<Event>
  <System>
    <EventID>4624</EventID> 
  </System>
  <EventData>
    <Data Name="TargetUserName">testuser</Data> 
  </EventData>
</Event>

Answer 1

问题是因为它们不是同一类型的XPath 。 Get-WinEvent使用Filter XPath（ -FilterXPath ），而Select-XML是直接-XPath选择，您不能互换使用。

即Get-WinEvent您编写一个XPath Filter表达式进行过滤（从文档中删除与查询不匹配的节点）。

对于Select-XML您将XPath表达式写入Select节点以返回。 当查询被写成它无法弄清楚如何返回特定节点时，就会出现错误

表达式必须计算为节点集。

因为，实际上，您没有返回特定的节点。

为什么| 工作是因为| 是Union（|）运算符 。 它正在返回两个表达式的并集。 确实，如果我们将表达式分成两半，则两个表达式都可以独立工作：

PS> select-xml "*[System[EventID=4624]]" event.xml

Node  Path        Pattern
----  ----        -------
Event InputStream *[EventData[Data [@Name='TargetUserName'] and Data='testuser']]

PS> select-xml " *[EventData[Data [@Name='TargetUserName'] and Data='testuser']]" event.xml

Node  Path        Pattern
----  ----        -------
Event InputStream *[EventData[Data [@Name='TargetUserName'] and Data='testuser']]

因为可以对表达式的每一部分进行评估以针对特定节点，所以它可以工作。 联合只返回与任一表达式匹配的所有节点。