Windows下的日志机制
对于日志，大部分人的想法应当和我起初的想法一致，只要写个函数，在这个函数中打开一个文件，把需要记录的事件信息写到这个文件中。然后在需要记录日志的地方调用这个函数。
但此时需要考虑的问题有很多，包括文件名的定义，是每次写日志都创建一个新文件还是在一个文件中写所有的信息。如果是同一个文件如果控制多线程同时写的问题；还有当日志文件过大时，如果删除以前的记录。读日志的方式，包括检索的功能；安全问题等等。所以不要小看了仅是辅助功能的日志机制，但不用担心，windows已经为我们定义了很完善的日志架构。
Windows vista引入的CLFS ( Common Log File System)机制，另外一个就是从NT3.5就支持的Event Logging机制，里面的函数大多是以Elf（Event Log File）开头的，简称为ELF。
Windows XP中定义了3类日志，分别是应用程序日志（Application），安全日志（Security）和系统日志（system），文件名分别为AppEvent.Evt, SecEvent.Evt和SysEvent.Evt.这些文件都用于存储注册表文件和配置信息的CONFIG目录下%SystemRoot%\SYSTEM32\CONFIG\
Windows Vista增加了HardvareEvents和DFS Replication等日志类别，并且为所有的日志文件建立了一个单独的目录，即%SystemRoot%\SYSTEM32\winevt\Logs目录，日志文件的扩展名也由.EVT改为.EVTX。
日志的配置信息都是存储在注册表
HKEY_LOACAL_MACHINE\SYSTEM\CurrentControlSet\Sercices\Eventlog
下面看产生windows日志的API及其执行过程：
1． 在注册表中注册事件源。线介绍一下事件源，事件源都是注册在注册表HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Application\下的，如果需要自己注册事件源就可以在这个注册表下添加一个新的键，再加两个项就可以了。来看个例子，outlook的事件源
它包含了三个键，EvetMessageFile用来指定这个事件源的消息文件（message file）的位置和名称。消息文件的作用可以使用模板来格式化日志事件或其他消息，与字符串资源和对话框资源差不多。可以使用后面介绍的事件ID（Event ID）来查找对应的显示信息，提供一种模板的支持。TypesSupported表示事件所支持的类型，包括EVENTLOG_ERROR_TYPE(0x0001), EVENTLOG_WARBUBG_TYPE(0x0002)等。Version表示事件源的版本。消息文件可以是DLL，exe等有效地PE文件，编写消息文件的方法这里就不介绍了，这里可以写应用程序本身的路径。
2． 调用RegisterEventSource API来取得事件源句柄，原型为：
HANDLE RegisterEventSource ( LPCTSTR lpUNCServerName, LPCTSTR lpSourceName)
其中lpUNCServerName表示机器名，如果是在本机操作，添NULL就可以了，lpSourceName为事件源的名称，填写前面创建的键名就可以了。如果事件源的名称在注册表中找不到，那么系统会默认使用应用类日志下的Application事件源。
3． 使用ReportEvent API来添加日志记录。原型为：
BOOL ReportEvent （ HANLE hEventLog, WORD wType, WORD wCategory, DWORD dwEventID, PSID lpUserSid, DWORD wNumStrings, DWORD dwDataSize, LPCTSTR* lpStrings, LPVOID lpRawData）;
第一参数为hEventLog是使用RegisterEventSource得到的事件源句柄；第二个参数wType用来指定事件的类型，可以为如下的常量：EVENTLOG_SUCCESS，EVENTLOG_AUDIT_FAILURE等。第三个参数wCategory用来指定事件在事件源中的类属号，其分类规则是由应用程序自己定义的。第四个参数dwEventID用来指定事件的ID号，通过这个ID来定位消息文件中所对应的信息。所以ID也是有应用程序自己定义的。第五个参数lpUserSid用来指定用户的安全标识，可以设为NULL。第六个参数wNumStrings用来指定第八个参数lpStrings所指向的字符串数组所包含的字符串指针个数。第八个参数用在事件的Description字段中显示信息，如下图所示：
第七个参数dwDataSize用来指定第九个参数lpRawData所指向的原始数据缓冲区的数据长度。这两个参数一个设为0，另一个设为NULL就行了。
这样就可以写入日子记录了，来看一下代码。
首先是注册事件源的代码：
BOOL AddEventSource(CString csName, DWORD dwCategoryCount)
{
HKEY hRegKey = NULL;
DWORD dwError = 0;
TCHAR szPath[ MAX_PATH ];
_stprintf( szPath, _T("SYSTEM\\CurrentControlSet\\Services\\EventLog\\Application\\%s"), csName );
// Create the event source registry key
dwError = RegCreateKey( HKEY_LOCAL_MACHINE, szPath, &hRegKey );
if (dwError != 0)
{
OutMsg("RegCreateKey failed for %d",GetLastError());
return E_FAIL;
}
// Name of the PE module that contains the message resource
GetModuleFileName( NULL, szPath, MAX_PATH );
// Register EventMessageFile
dwError = RegSetValueEx( hRegKey, _T("EventMessageFile"), 0, REG_EXPAND_SZ, (PBYTE) szPath, (_tcslen( szPath) + 1) * sizeof TCHAR );
if (dwError == 0)
{
// Register supported event types
DWORD dwTypes = EVENTLOG_ERROR_TYPE | EVENTLOG_WARNING_TYPE | EVENTLOG_INFORMATION_TYPE;
dwError = RegSetValueEx( hRegKey, _T("TypesSupported"), 0, REG_DWORD, (LPBYTE) &dwTypes, sizeof dwTypes );
// If we want to support event categories, we have also to register the CategoryMessageFile.
// and set CategoryCount. Note that categories need to have the message ids 1 to CategoryCount!
if(dwError == 0 && dwCategoryCount > 0 )
{
dwError = RegSetValueEx( hRegKey, _T("CategoryMessageFile"), 0, REG_EXPAND_SZ, (PBYTE) szPath, (_tcslen( szPath) + 1) * sizeof TCHAR );
if (dwError == 0)
dwError = RegSetValueEx( hRegKey, _T("CategoryCount"), 0, REG_DWORD, (PBYTE) &dwCategoryCount, sizeof dwCategoryCount );
}
}
RegCloseKey( hRegKey );
return TRUE;
}
来至《软件调试》
接下来是添加记录的过程：
LPCTSTR ppszArgs[]={"I make a trick!!!!!!!"}; // 要显示的信息
HANDLE hLog = ::RegisterEventSource( NULL, "MyEventSource"); //之前注册的事件源
BOOL bRet = ReportEvent(hLog, EVENTLOG_INFORMATION_TYPE,
0, 1024, NULL, 1, 0, ppszArgs, NULL); // 显示记录
除了显示日子记录的功能，当然还有其他的API来实现更多的功能，其他的API如下图所示：