windows系统可通过五种方式核查未授权操作痕迹：一、检查“recent”路径下的最近访问文件；二、分析prefetch文件夹中带时间戳的.pf缓存文件；三、用事件查看器筛选安全日志（id 4624/4625等）和系统日志（id 12/13等）；四、用systeminfo命令查系统启动时间；五、启用并查阅活动历史记录。
如果您怀疑自己的电脑在未授权情况下被他人操作，Windows 系统会在多个位置自动留存不可轻易抹除的操作痕迹。以下是验证该情况的具体路径与操作步骤：
一、检查最近访问的文件记录
Windows 会持续维护“最近使用项目”列表，该列表按文件修改时间自动排序，真实反映本地文档、图片、表格等资源被打开的顺序与时间戳，是识别非本人操作的第一手线索。
1、同时按下 Win + R 键，调出“运行”对话框。
2、在输入框中键入 recent，然后按回车键。
3、在打开的窗口中，点击“修改日期”列标题，使条目按时间倒序排列。
4、浏览顶部几项，重点关注文件名、扩展类型及右侧显示的精确时间，例如 report.xlsx（2026/02/20 23:17）。
二、分析 Prefetch 文件夹中的程序运行痕迹
Prefetch 是系统为加速启动而生成的执行缓存目录，其中每个 .pf 文件均以被运行程序的主名称开头，并携带最后一次执行的完整时间属性，可直接证明某软件是否被调用过。
1、打开“此电脑”，进入系统盘（通常为 C:）。
2、依次进入路径：Windows → Prefetch。
3、在文件夹空白处右键，选择“排序方式” → “修改日期”，并确保勾选“降序”。
4、观察顶部文件名，如 POWERPNT.EXE-8A3F2B1C.pf 表示 PowerPoint 在近期被运行；文件末尾的十六进制字符串无需解读。
三、核查 Windows 事件查看器中的登录与开关机日志
事件查看器是系统级审计核心工具，其“安全”日志完整记录所有用户登录行为（含成功与失败），而“系统”日志则固化每次开机与关机动作，二者结合可交叉验证异常操作时段。
1、按 Win + R 打开运行框，输入 eventvwr.msc 并回车。
2、在左侧树形菜单中，依次展开 Windows 日志 → 安全。
3、右键“安全”，选择“筛选当前日志…”。
4、在“事件 ID”栏中输入 4624, 4625, 4648, 4672（英文逗号分隔），点击确定。
5、在结果中双击任一事件，在“详细信息”选项卡下重点查看：登录类型（如 2=本地交互式登录、10=远程桌面）、帐户名、工作站名及时间。
6、切换至左侧 Windows 日志 → 系统。
7、右键“系统”，选择“筛选当前日志…”。
8、在“事件 ID”栏中输入 12, 13, 6005, 6006，点击确定。
9、查找描述为“事件服务已启动”的条目（对应开机时间）与“事件服务已停止”的条目（对应关机时间）。
四、调取系统启动时间命令行快查
systeminfo 命令可直接输出系统上次启动的精确时间，无需进入图形界面，适合快速比对日常使用时段是否存在异常开机节点。
1、按 Win + R，输入 cmd 并回车。
2、在命令提示符中输入：systeminfo | find "系统启动时间"，回车执行。
3、查看返回结果中“系统启动时间”后的具体日期与时间，例如：2026/02/20, 03:41:22。
五、启用并查阅活动历史记录（限已开启该功能账户）
Windows 10/11 的“活动历史记录”功能若处于启用状态，会跨设备同步并本地存储应用使用、文档打开、网页浏览等行为，提供带时间轴的可视化回溯能力。
1、打开“设置” → “隐私与安全” → “活动历史记录”。
2、确认“在此设备上存储我的活动历史记录”选项为 开启 状态。
3、点击“管理我的 Microsoft 账户活动历史记录”，跳转至网页端。
4、在网页中选择时间范围，查看按小时粒度排列的 应用启动、文档访问、Edge 浏览页签 等条目。
