Windows无法获取系统全局实时句柄引用计数，因该值未暴露给用户态；GetProcessHandleCount仅返回句柄数量而非引用计数；性能计数器和ETW是近似监控方案。
Windows 上无法直接获取系统全局的实时句柄引用计数统计——这不是一个暴露给用户态的公开指标，ntdll.dll 和内核内部维护的句柄表引用计数不对外导出，也没有 Win32 API 或 WMI 类能返回“当前所有句柄的总引用计数”或每个句柄的精确引用数。
为什么 GetProcessHandleCount 只返回句柄数量，不是引用计数
GetProcessHandleCount 返回的是当前进程打开的句柄对象数（即句柄表项数），它和“引用计数”完全不是一回事。一个句柄对象可能被多次 DuplicateHandle，每次复制都会增加其内核对象的引用计数，但 GetProcessHandleCount 不感知这个值。
- 句柄数量 ≈ 进程句柄表中非空槽位个数（可查
NtQueryInformationProcess的ProcessHandleCount类） - 引用计数是内核对象（如
OBJECT_HEADER）里的字段，仅在内核调试器（WinDbg）、ETW 事件或驱动层可见 - 试图用
ZwQueryObject+ObjectBasicInformation查单个句柄，也拿不到引用计数字段（该结构体里没有）
用 Performance Counter 获取近似句柄总数（含系统级）
Windows 性能计数器提供 Process(_Total)Handle Count 和 Process(XXX)Handle Count，这是最接近“实时句柄使用量”的公开指标，底层基于内核定期采样的句柄表扫描，延迟约 1–15 秒，非瞬时精确值。
- 需启用性能计数器权限：调用
OpenPerformanceData前确保进程有SE_PROF_SINGLE_PROCESS_NAME权限（通常需要管理员） - 计数器名称区分大小写，且进程实例名含 PID 后缀（如
chrome#1），用PerfQueryCounterData或PdhAddEnglishCounter更稳妥 - 该值仍是“句柄数量”，不是引用计数；但它反映资源压力趋势足够可靠，适合监控告警
// 示例：用 PDH 查询系统总句柄数 HQUERY query; HCOUNTER counter; PdhOpenQuery(NULL, 0, &query); PdhAddEnglishCounter(query, L"\Process(_Total)\Handle Count", 0, &counter); PdhCollectQueryData(query); // …… Sleep + PdhGetFormattedCounterValue 获取 double 值
用 ETW 实时捕获句柄生命周期事件（唯一接近引用计数的用户态方案）
通过开启 Microsoft-Windows-Kernel-Handle ETW provider（GUID {dd4e46a7-99b2-4e4c-b53d-7e87e1e77523}），可收到 HandleCreate / HandleDuplicate / HandleClose 事件，其中 HandleDuplicate 携带 NewHandleCount 字段（即该对象当前总引用数）。
立即学习“C++免费学习笔记（深入）”；
- 必须以管理员权限运行，且需启用内核栈采集（
KernelTraceControlsession）才能拿到完整上下文 - 事件频率高（尤其桌面环境），建议只开特定进程 PID 过滤，避免丢事件
- 不能回溯历史计数，只能从启动监听起累加/减；
NewHandleCount是快照值，非原子读取，极短时间内可能被并发修改 - 需用
TraceEvent库或TDH解析二进制 ETW 事件，比 WMI 或性能计数器复杂得多
真正意义上的“实时句柄引用计数”只存在于内核对象头里，用户态程序绕不开权限与设计限制。做进程资源监控时，盯住 Handle Count 趋势 + ETW 句柄事件流 + 内存提交量，比执着于某个瞬时引用数值更有实际意义。
