电脑被别人用过，怎么核对它开过什么

自己的电脑借给同事、设备完成交接、家里多人共用一台电脑，事后想核对有没有动过重要文件，这是合理的设备管理需求。但先明确结论：Windows 默认记录的是系统运行线索，不是屏幕录像。能查到“什么时候可能被使用、哪些文件时间发生变化”，通常查不到“当时具体看了什么”。

线索一：系统启动、关机与登录

按 Win + R，输入 eventvwr.msc。在“Windows 日志 → 系统”中筛选 6005、6006、6008、1074 和 41，可以辅助判断事件日志服务启动、正常停止、异常关机、主动重启和非正常重启等情况。

在“Windows 日志 → 安全”中，4624 可作为成功登录线索，4634 和 4647 与注销相关。需要同时查看账户名、登录类型和来源信息，因为后台服务、网络访问和本地交互登录都可能产生 4624，不能看到一条记录就认定有人坐在电脑前操作。

线索二：文件修改时间

1. 打开关心的项目或文档目录，切换为“详细信息”。
2. 显示“修改日期”“创建日期”“大小”等列。
3. 按修改日期倒序，并与系统运行时间交叉核对。

这通常是最实用的核对方法。它可以把范围从几万个文件缩小到某个时间段，但文件时间不是操作人证据。同步工具、解压、构建、杀毒软件甚至复制行为都可能改变元数据；具备技术能力的人也可能修改时间戳。

如果需要知道“改成了什么”，必须依赖事故前已经存在的版本历史、源代码仓库或备份。只有修改日期无法还原内容差异。

线索三：回收站与最近项目

打开回收站并按“删除日期”排序，可以查看仍在回收站中的文件。使用永久删除、清空回收站或从某些外接位置删除时，不会留下可见条目。

资源管理器“主页 / 快速访问”、shell:recent、开始菜单最近项目也能提供线索，但它们主要为了方便继续工作，用户可以清空，应用也未必都会写入。因此更适合作为提示，而不是单独下结论的依据。

线索四：浏览器和已安装应用

浏览器历史能显示未被清理的普通浏览记录；无痕窗口、清除记录、不同浏览器或独立用户配置都会让结果不完整。检查时也要尊重账户隐私，不应借设备管理之名读取与目标无关的私人内容。

在“设置 → 应用 → 已安装的应用”中可以查看近期安装的软件，但排序和安装日期显示会随 Windows 版本及安装方式不同。任务管理器“应用历史记录”可以补充部分应用的累计资源使用，却不是精确启动清单。

正确的结论边界

经常需要核对时，事前怎么做

1. 建立独立账户：借用人使用单独的标准用户账户，让文件、浏览器和设置天然分开。
2. 保护重要文件：配置文件历史记录、云端版本或独立备份，并定期验证能否恢复。
3. 明确记录边界：确有窗口活动记录需求时，只在本人设备或已经知情授权的公司、家庭共用设备上启用。
4. 坚持最小化：只记录解决问题需要的数据，设置合理保留期，不把窗口标题和文件名随意共享。

飞构卫可以在功能开启期间记录窗口活动和受保护文件的变更，并按时间进行汇总；它不能判断坐在电脑前的人是谁，也不能读取所有屏幕内容，更不能补录安装前的历史。技术记录只能作为设备管理线索，不能自动替代人员沟通或法律意义上的证据判断。

合规与尊重

自己的设备借给别人使用，应提前告知存在使用记录。公司设备应以制度、劳动规则和授权流程为依据。家庭共用设备也应当知情沟通，不建议隐瞒记录。未经许可，不要在他人的私人设备上安装监控或记录工具。