需用CreateToolhelp32Snapshot(TH32CS_SNAPHANDLE, GetCurrentProcessId())获取当前进程句柄快照，过滤dwOwnerPID为本进程ID，结合NtQueryObject或GetFinalPathNameByHandleW识别类型，通过两次快照比对新增/残留句柄定位泄露。
在Windows平台开发C++服务程序时，需要实时捕获进程句柄快照以定位句柄持续增长、无法释放的资源泄露问题，避免因GDI对象、事件、互斥体等句柄耗尽导致程序假死或崩溃。
获取当前进程的实时句柄快照
调用 CreateToolhelp32Snapshot 获取句柄快照，必须指定 TH32CS_SNAPHANDLE 标志，且 dwPID 必须设为当前进程ID（不能为0或其它进程ID，否则返回无效句柄）。
第一步：包含头文件并启用Unicode支持：#include <tlhelp32.h>，项目属性中设置字符集为“使用Unicode字符集”。
第二步：调用 CreateToolhelp32Snapshot(TH32CS_SNAPHANDLE, GetCurrentProcessId()) → 检查返回值是否为 【INVALID_HANDLE_VALUE】，若返回该值，说明系统拒绝访问句柄表（常见于低完整性级别进程或受保护进程），需以管理员权限重新运行程序。
立即学习“C++免费学习笔记（深入）”；
第三步：成功获取快照后，用 HandleEntry.dwOwnerPID 过滤出仅属于当前进程的句柄条目——注意，快照中包含所有进程的句柄，不加过滤会混入系统进程句柄，导致统计失真。
遍历句柄并识别资源类型
方法一：使用 NtQueryObject 查询句柄类型名称（需加载 ntdll.dll 并解析导出函数）
先通过 GetModuleHandle(L"ntdll.dll") 获取模块句柄 → 调用 GetProcAddress(hNtdll, "NtQueryObject") 获取函数指针 → 构造 OBJECT_BASIC_INFORMATION 和 UNICODE_STRING 缓冲区 → 传入目标句柄调用。这一步失败率高，因为多数句柄（如伪句柄、内核空句柄）会返回 STATUS_INVALID_HANDLE，跳过即可，不必报错中断。
方法二：用 GetFinalPathNameByHandleW 尝试获取文件路径
对每个句柄调用该API，若返回值 > 0 且路径以 \? 或 Device 开头，可判定为文件/设备句柄；若返回0且 GetLastError() == ERROR_INVALID_PARAMETER，大概率是同步对象（事件、互斥体、信号量）。
建立句柄生命周期比对模型
启动监控前，先执行一次快照并保存所有句柄值（HANDLE数值）与类型到 std::map<handle std::wstring></handle> 中 → 5秒后再次采集快照 → 遍历新快照，对每个句柄检查是否存在于原始map中 → 若不存在，说明是新分配句柄；若存在但类型变化（比如原为 Event 变成 Unknown），说明句柄已被关闭但未置空，存在悬空指针风险。
关键点：句柄值（HANDLE）本身是进程句柄表索引，**【重复分配的句柄值不表示资源复用，而代表旧资源已释放、新资源占用了同一槽位】**，因此必须结合类型+创建时间（可通过 NtQueryObject 的 OBJECT_BASIC_INFORMATION 中 CreationTime 字段获取）做联合判断。
将新增句柄按类型计数，输出到控制台或日志文件，例如：[+17] Event, [+3] Section, [+1] WindowStation。
定位泄露源头的实战技巧
在疑似泄露模块的构造函数末尾插入 LogHandleSnapshot("ctor@WidgetMgr"); → 在析构函数开头插入 LogHandleSnapshot("dtor@WidgetMgr"); → 运行程序并反复触发该模块创建销毁流程 → 对比两次快照中 Event 和 Semaphore 类型句柄数量差值。若差值恒为 +2，说明每次构造多申请了2个未配对释放的同步对象。
注意：不要依赖 CloseHandle 返回值判断是否成功——它只表示内核收到了关闭请求，不保证资源立即回收。真正验证是否泄露，必须等GC周期（约数秒）后再拍第二次快照确认句柄是否消失。
当发现某类句柄（如 ALPC Port）持续增长，立即在对应代码段添加 OutputDebugString 打印调用栈（可用 CaptureStackBackTrace + SymFromAddr 实现），定位到具体哪一行 new 了未 delete 的 CPortConnection 对象。
