SEH不能捕获内核崩溃（如BSOD），仅能捕获当前线程用户态触发的结构化异常，如ACCESS_VIOLATION、INT_DIVIDE_BY_ZERO、STACK_OVERFLOW（需预留空间）及RaiseException抛出的自定义异常。
SEH 不能捕获内核崩溃（如 BSOD），也不能拦截系统级异常（如访问违例导致的硬错误）——它只处理用户态的结构化异常，且必须在同一线程、同一栈帧中设置才有效。
SEH 能捕获哪些异常？
SEH（__try/__except）仅能捕获当前线程在用户模式下触发的结构化异常，比如：
-
ACCESS_VIOLATION（读写非法地址，如解引用nullptr或已释放内存） -
INTERRUPTED、STACK_OVERFLOW（需提前预留栈空间，否则无法进入__except块） - 通过
RaiseException()主动抛出的自定义异常
它完全无法捕获：内核态崩溃（如驱动导致的 IRQL_NOT_LESS_OR_EQUAL）、硬件中断失控、电源故障、或系统强制终止进程（如 TerminateProcess）。这些场景下进程早已被内核回收，SEH 无机会执行。
为什么 __try/__except 在某些崩溃时“不生效”？
常见失效原因不是语法错，而是运行时环境限制：
windows-shell
下载
Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。
立即学习“C++免费学习笔记（深入）”；
- 编译器未启用 SEH 支持：
/EHsc会禁用 SEH；必须用/EHa（注意：这会让 C++ 异常也走 SEH 分发，可能干扰catch行为） - 异常发生在不同线程：SEH 是线程局部的，主线程设的
__try对工作线程崩溃无效 - 栈已被破坏：如缓冲区溢出覆盖了异常处理帧（
EXCEPTION_REGISTRATION_RECORD），__except块根本不会被调用 - 使用了 /SAFESEH 或 /DYNAMICBASE：现代链接选项可能移除或重排异常处理表，需确认
dumpbin /loadconfig中SEH字段存在且非零
如何安全地记录崩溃现场并避免二次崩溃？
在 __except 块里做太多事（如调用 malloc、std::string、printf）极易引发二次异常。可靠做法是极简、确定性操作：
- 只调用 Windows API 中明确标记为
SEH-safe的函数，如WriteFile（用预先分配好的句柄和缓冲区）、OutputDebugString - 避免任何堆分配：日志缓冲区必须是全局/静态数组，大小固定（如
char g_crash_log[1024]） - 用
GetExceptionInformation()提取EXCEPTION_POINTERS*，从中读ExceptionRecord->ExceptionCode和ContextRecord->Rip（x64） - 不要尝试“恢复执行”（
EXCEPTION_CONTINUE_EXECUTION）——除非你 100% 确认错误可逆（如临时修复页保护），否则大概率导致数据损坏
__except (EXCEPTION_EXECUTE_HANDLER) {
PEXCEPTION_POINTERS p = GetExceptionInformation();
_snprintf_s(g_crash_log, _countof(g_crash_log),
"CRASH: 0x%08X at 0x%016I64X",
p->ExceptionRecord->ExceptionCode,
p->ContextRecord->Rip);
WriteFile(hLog, g_crash_log, strlen(g_crash_log), &dw, nullptr);
ExitProcess(1);
}
真正需要监控内核级问题时该怎么做？
如果你的目标是“感知驱动崩溃或系统级故障”，SEH 完全不在正确技术路径上：
- 监听 Windows 事件日志中的
System日志源，过滤Event ID 41（意外关机）、1001（WER 报告）、或驱动相关Kernel-Power事件 - 用
WMI查询Win32_BIOS、Win32_ComputerSystem等类获取重启原因（LastBootUpTime+PowerOnHours可辅助判断） - 部署内核模式驱动（需签名+测试证书）并注册
PsSetCreateProcessNotifyRoutine或ObRegisterCallbacks，但这已超出用户态程序能力范围
把 SEH 当作最后一道用户态兜底可以，但指望它“捕获内核崩溃”属于方向性误解——那块权限边界，连管理员都跨不过去。
