Windows事件日志支持用于 [Advanced XML filtering] 的 [XPath 1.0] 子集。但它们的 文档（以前 在此）只列出它实际支持的功能。因此你需要推断它未显式支持的功能。Which confuses users since mighty features are lacking that would be useful and are supported in PowerShell Cmdlets.

那么XPath 1.0的哪些特性在Windows事件日志子集中被明确缺失？

以及它支持的、在XPath 1.0中不存在的特性有哪些？

解决方案

Windows事件日志子集缺失的特性

完整的 Corelib 的节点集合、字符串、布尔值和数字函数，除了用于叶节点的 position() 之外，包括

• contains()
• starts-with()
• ends-with()
• 值中的通配符 *

Windows事件日志子集的附加特性

• band(int, int) - 用于标志匹配的按位与
• timediff(time1, time2) - 用于时间区间查询的时间差

结论

XPath的一个子集其实仅仅代表XPath的语法，而不包含函数。