Windows无API直接返回全局句柄引用总数；GetProcessHandleCount仅统计本进程句柄槽位数，不反映真实引用压力；NtQuerySystemInformation可枚举全系统句柄条目总数，但需调试权限且非去重引用计数。
Windows 系统没有公开、稳定、跨版本的 API 直接返回“全局句柄引用总数”——这个数值在内核中是分散维护的（每个进程独立句柄表 + 全局对象引用计数），GetProcessHandleCount 只能查本进程，NtQuerySystemInformation 的 SystemHandleInformation 类别虽可枚举全系统句柄，但开销大、需管理员权限、且返回的是句柄条目数（含重复引用），不是严格意义上的“引用总数”。
为什么 GetProcessHandleCount 不行？它只返回当前进程的句柄数
这个函数本质是读取当前进程 EPROCESS 结构里的 HandleCount 字段，完全不涉及其他进程或内核对象的引用关系。它甚至不区分句柄是否有效、是否被多处重复 DuplicateHandle —— 它只是个句柄表槽位计数器。
- 调用后返回值通常远小于你用 Process Explorer 看到的“Handles”列（后者是实时枚举结果）
- 对调试资源泄漏无直接帮助：一个泄漏的
HANDLE可能被DuplicateHandle复制 5 次，GetProcessHandleCount仍只算 1 个 - 无法反映内核对象真实引用压力，比如一个
Section对象被 20 个进程各持有一个句柄，它的总引用数是 20，但没有任何单进程 API 能聚合出这个 20
用 NtQuerySystemInformation 枚举所有句柄并统计（需 SeDebugPrivilege）
这是最接近“全局句柄引用总数”的实操路径，但要注意：它返回的是“句柄实例数”，即所有进程打开的所有句柄条目之和（含重复），不是去重后的对象数，更不是引用计数总和。但它能暴露资源使用全景。
- 必须启用调试权限：
AdjustTokenPrivileges启用SE_DEBUG_NAME，否则调用直接失败（STATUS_PRIVILEGE_NOT_HELD） - 信息类必须用
SystemHandleInformation（值为 16），Windows 10/11 上推荐改用SystemExtendedHandleInformation（值为 64），它包含所有者进程 ID 和对象类型名，避免手动解析ObjectTypeIndex - 缓冲区需循环调用：第一次传 NULL 获取所需大小，再分配内存重试；失败时检查
STATUS_INFO_LENGTH_MISMATCH - 枚举结果里每个
SYSTEM_HANDLE_TABLE_ENTRY_INFO_EX的HandleValue是句柄值，UniqueProcessId是所属进程，HandleCount字段在此结构中**不存在**——别和进程句柄计数混淆
// 简化示意：获取总句柄条目数（非引用总数）
ULONG size = 0;
NTSTATUS status = NtQuerySystemInformation(SystemExtendedHandleInformation, nullptr, 0, &size);
if (status == STATUS_INFO_LENGTH_MISMATCH) {
auto buf = std::make_unique<UCHAR[]>(size);
status = NtQuerySystemInformation(SystemExtendedHandleInformation, buf.get(), size, &size);
if (NT_SUCCESS(status)) {
auto info = reinterpret_cast<PSYSTEM_HANDLE_INFORMATION_EX>(buf.get());
DWORD total_handles = info->NumberOfHandles; // 这就是所有进程句柄条目的总和
}
}
真正有意义的“引用总数”只能按对象类型分组统计
如果你关心的是“有多少个线程对象正被引用”或“Event 对象总引用数是否异常增长”，就必须在 NtQuerySystemInformation 结果基础上，按 ObjectTypeIndex 或 ObjectTypeName（SystemExtendedHandleInformation 提供）做聚合。Windows 内核里每个对象头都有 PointerCount 和 HandleCount，但这两个值**不对外暴露**——你只能通过枚举所有句柄，然后按对象地址（Object 字段）去重计数，才接近真实对象实例数；而“引用总数”仍需额外跟踪每个对象的生命周期，实际不可行。
立即学习“C++免费学习笔记（深入）”；
- 同一个内核对象地址（
Object字段）出现在多个句柄条目中，说明它被多个进程/线程引用 - 用
std::map<uintptr_t, int>统计每个Object地址出现次数，得到近似“对象级引用频次”，但这仍是启发式估算 - 32 位系统上
Object是指针，64 位需用ULONGLONG；不同 Windows 版本该字段偏移可能变化，SystemExtendedHandleInformation更可靠 - 此方法无法区分“引用”和“句柄”：一个进程对同一对象重复
DuplicateHandle会产生多个句柄条目，指向同一Object地址，它们共同构成对该对象的一组引用
想靠一个数字判断系统资源瓶颈，不如盯紧具体进程的句柄泄漏（用 GetProcessHandleCount 配合定时采样）、或用 ETW 事件 Microsoft-Windows-Kernel-Process/ProcessConfiguration 捕获句柄创建/关闭；全局句柄总数本身意义有限，因为 Windows 默认限制是 16,777,216 个句柄，而实际瓶颈往往出现在 GDI/User 对象（GetGuiResources）或分页池耗尽上。
