因为GetCommandLine()仅能获取当前进程的命令行，无法跨进程读取；Windows禁止直接访问其他进程内存，必须通过OpenProcess+GetProcessCommandLine（Win10 1703+）或WMI等系统API安全获取，且需注意权限、位数匹配及空值处理。
为什么直接读取 GetCommandLine() 不行
你写的是目标进程，不是当前进程。调用 GetCommandLine() 只能拿到自己进程的命令行字符串，对其他进程完全无效。Windows 不允许跨进程直接读内存（除非有调试权限且手动解析），所以必须走系统 API 提供的正式通道。
使用 QueryFullProcessImageName() + GetProcessCommandLine()（Windows 10 1703+）
从 Windows 10 版本 1703（RS2）开始，kernel32.dll 暴露了 GetProcessCommandLine() 函数，但它不是公开导出函数，需动态获取地址。配合 OpenProcess() 和 PROCESS_QUERY_LIMITED_INFORMATION 权限即可安全读取。
实操要点：
- 必须以
PROCESS_QUERY_LIMITED_INFORMATION权限打开目标进程（普通用户权限下多数进程可访问，但系统进程如csrss.exe会失败） -
GetProcessCommandLine()返回的是宽字符指针，指向内核中缓存的只读副本，**不能 free，也不需要本地分配缓冲区** - 需用
GetProcAddress(GetModuleHandle(L"kernel32.dll"), "GetProcessCommandLine")获取函数地址，否则链接时报错 - 若函数返回
NULL，说明系统版本太低或权限不足，需降级处理
HANDLE hProc = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION, FALSE, pid);
if (hProc) {
auto pfn = (decltype(&GetProcessCommandLine)) GetProcAddress(
GetModuleHandle(L"kernel32.dll"), "GetProcessCommandLine");
if (pfn) {
PCWSTR cmd = pfn(hProc);
if (cmd) wprintf(L"%s\n", cmd); // 直接使用，无需复制
}
CloseHandle(hProc);
}
降级方案：用 WMI 查询 Win32_Process.CommandLine
当 GetProcessCommandLine() 不可用（如 Win7/Win8 或沙箱环境），WMI 是最稳定替代。它不依赖进程权限，但启动慢、有 COM 初始化开销。
立即学习“C++免费学习笔记（深入）”；
关键注意点：
- 必须初始化 COM：
CoInitializeEx(nullptr, COINIT_APARTMENTTHREADED) - 查询语句用
SELECT CommandLine FROM Win32_Process WHERE ProcessId = 1234，注意ProcessId是整数，不是字符串 - 返回字段
CommandLine是BSTR，需用SysFreeString()释放 - 某些进程（如以
SYSTEM身份运行的服务）可能返回空字符串，即使 WMI 查询成功
常见失败原因和绕过思路
不是所有进程都能拿到命令行——这不是 bug，是设计使然。
-
Access is denied：目标进程开启了SeDebugPrivilege保护，或你没用管理员权限运行自己的程序（尤其对svchost.exe等） - 返回空字符串：进程是通过
CreateProcess(…, CREATE_SUSPENDED)启动后修改了命令行，或使用了SetThreadContext()隐藏参数 - WMI 超时（
WBEM_E_TIMEOUT）：远程 WMI 服务卡住，建议设置SetProxyBlanket()并限定超时为 3 秒 - 32/64 位 mismatch：WOW64 下，32 位程序查不到 64 位进程的完整命令行（会截断），必须匹配位数或改用
GetProcessCommandLine()
真正难搞的是那些主动擦除命令行的进程（比如某些反调试工具），这时候连内核态也拿不到原始值——不是方法不对，是它根本没留。
