如何确定 Windows 注销是手动还是自动？

Question

以下是用户注销 Windows 的两种常见方法：

• 手动：用户手动注销
• 自动：Windows系统通过某种机制自动注销用户

有什么方法可以确定（基于普通 Windows 安装，没有安装特殊软件）注销的方法吗？即使用了这两种注销方法（手动/自动）中的哪一种？

Answer 1

当用户调用注销/注销（手动）操作时，这将作为事件 ID 4647记录到安全事件日志中。自动注销（会话超时）将作为事件 ID 4634记录到事件日志中。

要查看事件日志中的事件，请执行以下操作

1. eventvwr从“开始”>“运行”加载
2. 单击SecurityWindows 日志下的
3. 单击Filter Current Log右侧操作菜单
4. 4634,4647在下面的字段中输入Includes/Excludes Event IDs:

单击“确定”，您将看到与所选事件 ID 相关的事件列表。

如果您没有看到任何内容，则说明您的事件日志已被清除，或者事件太旧，您需要更改事件查看器存储的数据量。

可以在此处找到事件 ID 的完整列表。