<p>Windows 无法通过 C# 常规 API 拦截 Ctrl+Alt+Delete，因其是内核级 Secure Attention Sequence（SAS），由 Winlogon 保护，用户态程序包括 C# 完全无权干预。</p>
Windows 不能通过 C# 常规 API 拦截 Ctrl+Alt+Delete
直接说结论：Ctrl+Alt+Delete 是 Windows 的 Secure Attention Sequence（SAS），由 Winlogon 进程在内核级保护，任何用户态程序（包括 C#）都无法拦截或屏蔽它。这不是权限不够、不是没调对 API，而是系统设计上就不允许。
常见错误现象是：写了一堆 SetWindowsHookEx + WH_KEYBOARD_LL，发现 Ctrl+Alt+Delete 根本不触发回调；或者尝试用 RegisterHotKey 注册组合键，但系统直接忽略该组合。
-
WH_KEYBOARD_LL钩子收不到Ctrl+Alt+Delete的任何按键消息 -
RegisterHotKey不支持注册含Ctrl+Alt+Delete的热键，会返回false且GetLastError()返回ERROR_INVALID_PARAMETER - 试图用
BlockInput(true)也无效——它只锁普通输入，SAS 仍可唤醒登录界面
唯一合法干预点：自定义 GINA / Credential Provider（仅限旧系统或企业场景）
真正能影响 Ctrl+Alt+Delete 行为的，只有 Windows 登录认证层的组件。WinXP/Server 2003 时代可用 GINA（Graphical Identification and Authentication），Vista 起被 ICredentialProvider 取代。但这不是“拦截”，而是替换整个登录流程。
使用场景非常有限：企业定制登录界面、Kiosk 模式终端、高安全隔离环境。普通桌面应用、服务、WinForm/WPF 程序完全无权介入。
- 必须以 SYSTEM 权限运行，且需数字签名才能加载到 Winlogon 进程
- C# 无法直接实现
ICredentialProvider（COM 接口要求原生 DLL 导出函数），需用 C++ 编写 COM 组件，再由 C# 调用（极不推荐） - Windows 10/11 默认启用 Secure Boot 和 HVCI，几乎不可能加载未签名的凭证提供者
实际能做的替代方案：降级需求，聚焦可控范围
如果你的真实目标是“防止用户意外退出当前应用”或“锁定操作界面”，Ctrl+Alt+Delete 不是唯一路径。与其硬刚 SAS，不如处理它触发后的下游行为。
例如：用户按了 Ctrl+Alt+Delete → 弹出安全选项菜单 → 选“任务管理器” → 结束你的进程。这时你可以做的是让进程更难被结束，或快速恢复状态。
- 用
SetProcessPriorityClass(GetCurrentProcess(), REALTIME_PRIORITY_CLASS)提升优先级（慎用，可能影响系统稳定性） - 监听
SessionEnding或SystemEvents.SessionEnding事件，在注销前保存关键状态 - 用
SetThreadExecutionState(ES_CONTINUOUS | ES_SYSTEM_REQUIRED | ES_DISPLAY_REQUIRED)防止系统自动锁屏或休眠，间接减少用户触发 SAS 的动机 - 在 Kiosk 模式下，通过组策略禁用任务管理器（
DisableTaskMgr）、隐藏关机按钮等，比拦截 SAS 更可靠
为什么网上很多“C# 屏蔽 Ctrl+Alt+Delete”代码根本无效
那些所谓“成功案例”，基本分三类：要么是误判（把 Ctrl+Shift+Esc 当成 Ctrl+Alt+Delete），要么是测试环境不对（虚拟机/旧系统未开启 SAS 保护），要么压根没真测——只看到钩子注册成功，就以为拦住了。
关键区别在于：Ctrl+Shift+Esc 是用户态热键，可被 RegisterHotKey 拦截；Ctrl+Alt+Delete 是内核级中断信号，连键盘驱动都收不到完整扫描码序列。
- 检查是否混淆了
Ctrl+Alt+Delete和Ctrl+Alt+Tab、Alt+Tab等普通组合键 - 在 Windows 10/11 家庭版或专业版上，用 Process Monitor 抓
winlogon.exe的输入事件，会发现没有对应 IRP 或 IOCTL 流入 - 所有声称“纯 C# 实现拦截”的 GitHub 项目，实际运行时都会在按下
Ctrl+Alt+Delete后直接唤出安全选项界面
真正的难点不在代码怎么写，而在于理解 Windows 登录架构的分层边界——用户态和内核态之间那道墙，不是加个 [DllImport] 就能翻过去的。
