应使用 GetProcessHandleCount 获取当前进程句柄数，它轻量、无需提权、无版本兼容问题；NtQuerySystemInformation 仅适用于全系统句柄快照，查本进程需遍历过滤且易出错。
如何用 NtQuerySystemInformation 获取当前进程句柄数（非系统全局）
直接调用 NtQuerySystemInformation 并传入 SystemHandleInformation（或更安全的 SystemHandleInformationEx）确实能拿到所有句柄快照，但它返回的是**全系统所有进程的句柄列表**，不是“当前进程的句柄数”。想快速知道本进程用了多少句柄，别遍历整个表——先用 GetCurrentProcess 拿到自身 HANDLE，再调 GetProcessHandleCount，它底层走的是轻量级内核查询，毫秒级完成。
常见错误是以为 NtQuerySystemInformation 有“当前进程句柄数”专用类别，其实没有。硬要用它查本进程，就得：① 分配足够大缓冲区；② 循环调用直到 STATUS_INFO_LENGTH_MISMATCH 消失；③ 遍历返回的 SYSTEM_HANDLE_INFORMATION_EX 结构体，按 UniqueProcessId 过滤；④ 计数。这既慢又容易因结构体版本变化（如 Win10 1809+ 引入 Ex 版本）导致读越界。
-
GetProcessHandleCount是唯一推荐的本进程句柄数获取方式，无需提权，无版本兼容问题 - 若必须用
NtQuerySystemInformation（例如做句柄泄漏分析），务必用SystemHandleInformationEx替代旧版，字段对齐更稳定 - 缓冲区分配要预留至少 64KB，小内存机器上句柄多时一次返回可能超 10 万条记录
调用 NtQuerySystemInformation 前必须解决的三件事
这个函数不在 ntdll.lib 中导出，也不是 WinSDK 标准接口，意味着你不能直接链接调用。漏掉任一环节都会导致链接失败或运行时 0xC0000005。
- 必须用
GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtQuerySystemInformation")动态获取地址，硬写#pragma comment(lib, "ntdll.lib")会失败 - 需要自己声明函数指针类型：
using NTQSI = NTSTATUS(NTAPI*)(SYSTEM_INFORMATION_CLASS, PVOID, ULONG, PULONG);，注意NTSTATUS是LONG，不是BOOL - 目标进程需有
SeDebugPrivilege权限才能查其他进程句柄——但查自己不需要，这点常被误设导致权限弹窗或拒绝访问
SystemHandleInformation 和 SystemHandleInformationEx 的关键差异
Win10 1809 后微软悄悄把句柄信息结构体加了字段，旧版 SystemHandleInformation 返回的数据在新系统上会被截断，ObjectAddress 可能指向非法内存，遍历时极易崩溃。
立即学习“C++免费学习笔记（深入）”；
新版 SystemHandleInformationEx 多出两个字段：HandleAttributes（标志位，含继承性/保护状态）和 Reserved（对齐填充）。结构体大小从 16 字节涨到 24 字节。不区分版本直接强转会导致偏移错乱，比如把 ObjectTypeIndex 当成 HandleValue 解析。
- 优先检测 OS 版本：
OSVERSIONINFOEX中wProductType+dwBuildNumber >= 17763就用Ex类别 - 即使不用
Ex字段，也建议统一用SystemHandleInformationEx，兼容性更好 - 不要依赖
ObjectTypeIndex查对象名——它只是索引，真实类型名得配合NtQueryObject+ObjectNameInformation单独查，开销极大
为什么你拿到的句柄数和任务管理器不一致
任务管理器显示的“句柄数”其实是 GetProcessHandleCount 的结果，而你用 NtQuerySystemInformation 扫出来的数量往往更大，原因有三个：
- 某些句柄处于“已关闭但对象未销毁”状态（如异步 I/O 完成后尚未被线程池回收），
NtQuerySystemInformation仍计入，GetProcessHandleCount不计 - 驱动程序创建的内核句柄（如 WFP 过滤器句柄）不会出现在用户态进程的句柄表中，但
NtQuerySystemInformation全局扫描时会包含它们——除非你过滤了UniqueProcessId == 0 - 32 位进程在 WoW64 下调
NtQuerySystemInformation可能因指针截断漏掉部分句柄，64 位原生进程才可靠
真正要监控泄漏，别只看总数，重点比对同一进程两次快照间的新增句柄的 ObjectTypeIndex 和 HandleValue，再结合堆栈（需 ETW 或 DbgHelp）定位分配点——否则数字再准也没用。
