C# .NET 寫入 Windows 事件日誌完整解決方案：EventLog 類實戰與權限處理

前言

應用系統的開發與維護離不開日誌系統。在 Windows 環境下，除了自建文字日誌檔、資料庫日誌、log4net/Serilog 等第三方框架，Windows 事件日誌 是原生、結構化、具備檢視器與管理工具的最佳選擇。本文系統說明如何在 .NET (Framework/Core) 中使用 System.Diagnostics.EventLog 寫入事件日誌，重點解決 Web 應用 (ASP.NET/ASP.NET Core) 權限不足無法建立事件來源 的三大方案。

事件日誌架構基礎

• 事件日誌：如 Application、System、Security、自訂日誌（如 "MyAppLog"）。
• 事件來源：日誌下的子分類，每筆記錄必須屬於一個來源（如 "MyWebSource"）。
• 對應關係：一個來源只能屬於一個日誌；一個日誌可包含多個來源。

寫入流程：EventLog.CreateEventSource(source, logName) → `new EventLog(logName) { Source = source }` → `WriteEntry(message, type)`。

核心寫入程式碼（通用封裝類）

using System.Diagnostics;

public static class EventLogHelper
{
    private const string DefaultLogName = "MyAppLog"; // 自訂日誌名稱

    public static void Write(string source, string message, EventLogEntryType type = EventLogEntryType.Information)
    {
        EnsureSourceExists(source);
        using (var log = new EventLog(DefaultLogName) { Source = source })
        {
            log.WriteEntry(message, type);
        }
    }

    private static void EnsureSourceExists(string source)
    {
        if (!EventLog.SourceExists(source))
        {
            // 需管理員權限，Web 環境請參考下方三大方案
            EventLog.CreateEventSource(source, DefaultLogName);
        }
    }
}

// 呼叫範例
EventLogHelper.Write("WebLog", "使用者登入成功", EventLogEntryType.Information);
EventLogHelper.Write("WebLog", "資料庫連線失敗", EventLogEntryType.Error);

事件類型對照表

Web 應用權限難題與三大解決方案

問題：ASP.NET 執行身分 (IIS 6.0: ASPNET / IIS 7+: ApplicationPoolIdentity) 預設無寫入登錄表權限，呼叫 CreateEventSource 會拋出 SecurityException: Requested registry access is not allowed。

方案 A：部署前手動建立來源（最安全、推薦生產環境）

1. 開發機以管理員身分執行 PowerShell：
   New-EventLog -LogName "MyAppLog" -Source "WebLog"
2. 或使用 EventLogInstaller 專案（見下），打包進 MSI，安裝時自動建立。
3. 程式碼中移除 `CreateEventSource` 呼叫，僅保留 `WriteEntry`。

方案 B：使用 EventLogInstaller 隨安裝程式自動註冊

// 專案類型：Class Library，參考 System.Configuration.Install
[RunInstaller(true)]
public class MyEventLogInstaller : Installer
{
    public MyEventLogInstaller()
    {
        var installer = new EventLogInstaller
        {
            Source = "WebLog",
            Log = "MyAppLog"
        };
        Installers.Add(installer);
    }
}

建置產生 DLL，部署時以管理員執行 InstallUtil MyEventLogInstaller.dll 即可註冊來源。

方案 C：提升應用程式池身分權限（不推薦，有安全風險）

1. 註冊表路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog
2. 右鍵 → Permissions → 加入 IIS AppPool\YourAppPoolName → 授予 讀取/寫入。
3. 程式碼可保留 `CreateEventSource` 動態建立。

風險：賦予應用程式池寫入事件日誌登錄表權限，若網站被攻破，攻擊者可竄改/清除系統日誌。生產環境請優先採方案 A 或 B。

.NET Core / .NET 5+ 跨平台注意事項

• EventLog 僅支援 Windows。Linux/Docker 環境需改用 Microsoft.Extensions.Logging.EventLog (僅 Windows) 或串接 Syslog/Elasticsearch/Seq 等集中式日誌。
• ASP.NET Core 內建 Logging 抽象，建議配置 AddEventLog() 於 `Program.cs`，統一使用 `ILogger` 介面，避免直接依賴 `EventLog` 類別。

最佳實務總結

1. 來源名稱固定：專案啟動時一次性檢查/建立，避免每次寫入都呼叫 `SourceExists`。
2. 自訂日誌名稱：不要汙染 Application 日誌，便於篩選與封存。
3. 結構化訊息：建議格式 `"{EventId}|{Category}|{Message}"` 或 JSON，利於後續分析。
4. 例外處理：`WriteEntry` 可能拋出 `Win32Exception` (日誌滿、權限不足)，務必 try-catch 並 fallback 到文字檔。
5. 權限最小化：生產環境採「部署時建立來源」，執行期僅需寫入權限（預設 Users 群組即有）。

結語

善用 Windows 事件日誌，能讓系統日誌與作業系統原生管理工具無縫整合，無論是事件檢視器、PowerShell `Get-WinEvent`、還是 SIEM 收集器都能直接處理。掌握 EventLog 寫入與來源註冊權限分離，是 .NET 開發者邁向專業運維的關鍵技能。