MFC 消息

来源：互联网发布：工艺方案优化编辑：程序博客网时间：2024/05/16 12:14

MFC消息响应机制分析

---- MFC是Windows下程序设计的最流行的一个类库，但是该类库比较庞杂，尤其是它的消息映射机制，更是涉及到很多低层的东西，我们在这里，对它的整个消息映射机制进行了系统的分析，可以帮助程序开发人员对MFC的消息映射机制有一个比较透彻的了解。

1．引言

---- VC++的MFC类库实际上是Windows下C++编程的一套最为流行的类库。MFC的框架结构大大方便了程序员的编程工作，但是为了更加有效、灵活的使用MFC编程，了解MFC的体系结构往往可以使编程工作事半功倍。它合理的封装了WIN32 API函数，并设计了一套方便的消息映射机制。但这套机制本身比较庞大和复杂，对它的分析和了解无疑有助于我们写出更为合理的高效的程序。这里我们简单的分析MFC的消息响应机制，以了解MFC是如何对Windows的消息加以封装，方便用户的开发。

2. SDK下的消息机制实现
---- 这里简单的回顾一下SDK下我们是如何进行Windows的程序开发的。一般来说，Windows的消息都是和线程相对应的。即Windows会把消息发送给和该消息相对应的线程。在SDK的模式下，程序是通过GetMessage函数从和某个线程相对应的消息队列里面把消息取出来并放到一个特殊的结构里面，一个消息的结构是一个如下的STRUCTURE。
typedef struct tagMSG {
HWND hwnd;
UINT message;
WPARAM wParam;
LPARAM lParam;
DWORD time;
POINT pt;
}MSG;
---- 其中hwnd表示和窗口过程相关的窗口的句柄，message表示消息的ID号，wParam和lParam表示和消息相关的参数，time表示消息发送的时间，pt表示消息发送时的鼠标的位置。

---- 然后TranslateMessage函数用来把虚键消息翻译成字符消息并放到响应的消息队列里面，最后DispatchMessage函数把消息分发到相关的窗口过程。然后窗口过程根据消息的类型对不同的消息进行相关的处理。在SDK编程过程中，用户需要在窗口过程中分析消息的类型和跟消息一起的参数的含义，做不同的处理，相对比较麻烦，而MFC把消息调用的过程给封装起来，使用户能够通过ClassWizard方便的使用和处理Windows的各种消息。

3．MFC的消息实现机制
---- 我们可以看到，在MFC的框架结构下，可以进行消息处理的类的头文件里面都会含有DECLARE_MESSAGE_MAP()宏,这里主要进行消息映射和消息处理函数的声明。可以进行消息处理的类的实现文件里一般都含有如下的结构。
BEGIN_MESSAGE_MAP(CInheritClass, CBaseClass)
//{{AFX_MSG_MAP(CInheritClass)
//}}AFX_MSG_MAP
END_MESSAGE_MAP()

---- 这里主要进行消息映射的实现和消息处理函数的实现。
---- 所有能够进行消息处理的类都是基于CCmdTarget类的，也就是说CCmdTarget类是所有可以进行消息处理类的父类。CCmdTarget类是MFC处理命令消息的基础和核心。

---- 同时MFC定义了下面的两个主要结构:

AFX_MSGMAP_ENTRY
struct AFX_MSGMAP_ENTRY
{
UINT nMessage; // windows message
UINT nCode; // control code or WM_NOTIFY code
UINT nID;
// control ID (or 0 for windows messages)
UINT nLastID;
// used for entries specifying a range of control id's
UINT nSig;
// signature type (action) or pointer to message #
AFX_PMSG pfn; // routine to call (or special value)
};
和AFX_MSGMAP
struct AFX_MSGMAP
{
#ifdef _AFXDLL
const AFX_MSGMAP* (PASCAL* pfnGetBaseMap)();
#else
const AFX_MSGMAP* pBaseMap;
#endif
const AFX_MSGMAP_ENTRY* lpEntries;
};

其中AFX_MSGMAP_ENTRY结构包含了
一个消息的所有相关信息,其中

nMessage为Windows消息的ID号
nCode为控制消息的通知码
nID为Windows控制消息的ID
nLastID表示如果是一个指定范围的消息被映射的话，
nLastID用来表示它的范围。
nSig表示消息的动作标识
AFX_PMSG pfn 它实际上是一个指向和该消息相应的执行函数的指针。

---- 而AFX_MSGMAP主要作用是两个，一：用来得到基类的消息映射入口地址。二：得到本身的消息映射入口地址。

---- 实际上，MFC把所有的消息一条条填入到AFX_MSGMAP_ENTRY结构中去，形成一个数组，该数组存放了所有的消息和与它们相关的参数。同时通过AFX_MSGMAP能得到该数组的首地址，同时得到基类的消息映射入口地址，这是为了当本身对该消息不响应的时候，就调用其基类的消息响应。

---- 现在我们来分析MFC是如何让窗口过程来处理消息的，实际上所有MFC的窗口类都通过钩子函数_AfxCbtFilterHook截获消息，并且在钩子函数_AfxCbtFilterHook中把窗口过程设定为AfxWndProc。原来的窗口过程保存在成员变量m_pfnSuper中。

---- 所以在MFC框架下，一般一个消息的处理过程是这样的。

函数AfxWndProc接收Windows操作系统发送的消息。

函数AfxWndProc调用函数AfxCallWndProc进行消息处理，这里一个进步是把对句柄的操作转换成对CWnd对象的操作。

函数AfxCallWndProc调用CWnd类的方法WindowProc进行消息处理。注意AfxWndProc和AfxCallWndProc都是AFX的API函数。而WindowProc已经是CWnd的一个方法。所以可以注意到在WindowProc中已经没有关于句柄或者是CWnd的参数了。

方法WindowProc调用方法OnWndMsg进行正式的消息处理，即把消息派送到相关的方法中去处理。消息是如何派送的呢？实际上在CWnd类中都保存了一个AFX_MSGMAP的结构，而在AFX_MSGMAP结构中保存有所有我们用ClassWizard生成的消息的数组的入口，我们把传给OnWndMsg的message和数组中的所有的message进行比较，找到匹配的那一个消息。实际上系统是通过函数AfxFindMessageEntry来实现的。找到了那个message，实际上我们就得到一个AFX_MSGMAP_ENTRY结构，而我们在上面已经提到AFX_MSGMAP_ENTRY保存了和该消息相关的所有信息，其中主要的是消息的动作标识和跟消息相关的执行函数。然后我们就可以根据消息的动作标识调用相关的执行函数，而这个执行函数实际上就是通过ClassWizard在类实现中定义的一个方法。这样就把消息的处理转化到类中的一个方法的实现上。举一个简单的例子，比如在View中对WM_LButtonDown消息的处理就转化成对如下一个方法的操作。
void CInheritView::OnLButtonDown
(UINT nFlags, CPoint point)
{
// TODO: Add your message
handler code here and/or call default
CView::OnLButtonDown(nFlags, point);
}

注意这里CView::OnLButtonDown(nFlags, point)实际上就是调用CWnd的Default()方法。而Default()方法所做的工作就是调用DefWindowProc对消息进行处理。这实际上是调用原来的窗口过程进行缺省的消息处理。

如果OnWndMsg方法没有对消息进行处理的话，就调用DefWindowProc对消息进行处理。这是实际上是调用原来的窗口过程进行缺省的消息处理。
---- 所以如果正常的消息处理的话，MFC窗口类是完全脱离了原来的窗口过程，用自己的一套体系结构实现消息的映射和处理。即先调用MFC窗口类挂上去的窗口过程，再调用原先的窗口过程。并且用户面对和消息相关的参数不再是死板的wParam和lParam,而是和消息类型具体相关的参数。比如和消息WM_LbuttonDown相对应的方法OnLButtonDown的两个参数是nFlags和point。nFlags表示在按下鼠标左键的时候是否有其他虚键按下，point更简单，就是表示鼠标的位置。
---- 同时MFC窗口类消息传递中还提供了两个函数，分别为WalkPreTranslateTree和PreTranslateMessage。我们知道利用MFC框架生成的程序，都是从CWinApp开始执行的，而CWinapp实际继承了CWinThread类。在CWinThread的运行过程中会调用窗口类中的WalkPreTranslateTree方法。而WalkPreTranslateTree方法实际上就是从当前窗口开始查找愿意进行消息翻译的类，直到找到窗口没有父类为止。在WalkPreTranslateTree方法中调用了PreTranslateMessage方法。实际上PreTranslateMessage最大的好处是我们在消息处理前可以在这个方法里面先做一些事情。举一个简单的例子，比如我们希望在一个CEdit对象里，把所有的输入的字母都以大写的形式出现。我们只需要在PreTranslateMessage方法中判断message是否为WM_CHAR,如果是的话，把wParam(表示键值)由小写字母的值该为大写字母的值就实现了这个功能。

---- 继续上面的例子，根据我们对MFC消息机制的分析，我们很容易得到除了上面的方法，我们至少还可以在另外两个地方进行操作。

---- 一：在消息的处理方法里面即OnChar中，当然最后我们不再调用CEdit::OnChar(nChar, nRepCnt, nFlags)，而是直接调用DefWindowProc(WM_CHAR,nChar,MAKELPARAM (nRepCnt,nFlags))。因为从我们上面的分析可以知道CEdit::OnChar(nChar, nRepCnt, nFlags)实际上也就是对DefWindowProc方法的调用。

---- 二：我们可以直接重载DefWindowProc方法,对message类型等于WM_CHAR的，直接修改nChar的值即可。

4．小结
---- 通过对MFC类库的分析和了解，不仅能够使我们更好的使用MFC类库，同时，对于我们自己设计和实现框架和类，无疑也有相当大的帮助。

二．MFC的消息映射机制

MFC的设计者们在设计MFC时，紧紧把握一个目标，那就是尽可能使得MFC的代码要小，速度尽可能快。为了这个目标，他们使用了许多技巧，其中很多技巧体现在宏的运用上，实现MFC的消息映射的机制就是其中之一。
　　同MFC消息映射机制有关的宏有下面几个：
　　DECLARE_MESSAGE_MAP()宏
　　BEGIN_MESSAGE_MAP(theClass, baseClass)和END_MESSAGE_MAP()宏
　　弄懂MFC消息映射机制的最好办法是将找出一个具体的实例，将这些宏展开，并找出相关的数据结构。
　　DECLARE_MESSAGE_MAP()
　 DECLARE_MESSAGE_MAP()宏的定义如下：
　　#define DECLARE_MESSAGE_MAP() \
　　private: \
　　static const AFX_MSGMAP_ENTRY _messageEntries[]; \
　　protected: \
　　static AFX_DATA const AFX_MSGMAP messageMap; \
　　virtual const AFX_MSGMAP* GetMessageMap() const; \
从上面的定义可以看出，DECLARE_MESSAGE_MAP()作下面三件事：
　　定义一个长度不定的静态数组变量_messageEntries[]；
　　定义一个静态变量messageMap；
　　定义一个虚拟函数GetMessageMap()；
在DECLARE_MESSAGE_MAP()宏中，涉及到MFC中两个对外不公开的数据结构
AFX_MSGMAP_ENTRY和AFX_MSGMAP。为了弄清楚消息映射，有必要考察一下这两个数据结构的定义。
　　AFX_MSGMAP_ENTRY的定义
　　struct AFX_MSGMAP_ENTRY
　　{
　　　UINT nMessage; // windows message
　　　UINT nCode; // control code or WM_NOTIFY code
　　　UINT nID; // control ID (or 0 for windows messages)
　　　UINT nLastID; // used for entries specifying a range of control id's
　　　UINT nSig; // signature type (action) or pointer to message #
　　　AFX_PMSG pfn; // routine to call (or special value)
　　};
结构中各项的含义注释已经说明得很清楚了，这里不再多述，从上面的定义你是否看出，AFX_MSGMAP_ENTRY结构实际上定义了消息和处理此消息的动作之间的映射关系。因此静态数组变量_messageEntries[]实际上定义了一张表，表中的每一项指定了相应的对象所要处理的消息和处理此消息的函数的对应关系，因而这张表也称为消息映射表。再看看AFX_MSGMAP的定义。
　　（2）AFX_MSGMAP的定义
　　struct AFX_MSGMAP
　　{
　　　const AFX_MSGMAP* pBaseMap;
　　　const AFX_MSGMAP_ENTRY* lpEntries;
　　　};
不难看出，AFX_MSGMAP定义了一单向链表，链表中每一项的值是一指向消息映射表的指针（实际上就是_messageEntries的值）。通过这个链表，使得在某个类中调用基类的的消息处理函数很容易，因此，“父类的消息处理函数是子类的缺省消息处理函数”就“顺理成章”了。在后面的“MFC窗口的消息处理”一节中会对此作详细的讲解。

由上述可见，在类的头文件中主要定义了两个数据结构：消息映射表和单向链表。（孙建东总结）
　　BEGIN_MESSAGE_MAP()和END_MESSAGE_MAP()
　　它们的定义如下：
　　#define BEGIN_MESSAGE_MAP(theClass, baseClass) \
　　const AFX_MSGMAP* theClass::GetMessageMap() const \
　　{ return &theClass::messageMap; } \
　　AFX_COMDAT AFX_DATADEF const AFX_MSGMAP theClass::messageMap = \
　　{ &baseClass::messageMap, &theClass::_messageEntries[0] }; \
　　AFX_COMDAT const AFX_MSGMAP_ENTRY theClass::_messageEntries[] = \
　　{ \
　　　#define END_MESSAGE_MAP() \
　　　{0, 0, 0, 0, AfxSig_end, (AFX_PMSG)0 } \
　　　}; \
对应BEGIN_MESSAGE_MAP()的定义可能不是一下子就看得明白，不过不要紧，举一例子就很清楚了。对于BEGIN_MESSAGE_MAP(CView, CWnd)，VC预编译器将其展开成下面的形式：
　　const AFX_MSGMAP* CView::GetMessageMap() const
　　{
　　　return &CView::messageMap;
　　　}
　　AFX_COMDAT AFX_DATADEF const AFX_MSGMAP CView::messageMap =
　　{
　　　&CWnd::messageMap,
　　　&CView::_messageEntries[0]
　　};
　　AFX_COMDAT const AFX_MSGMAP_ENTRY CView::_messageEntries[] =
　　{
　　至于END_MESSAGE_MAP()则不过定义了一个表示映射表结束的标志项，我想大家对于这种简单的技巧应该是很熟悉的，无需多述。

到此为止，我想大家也已经想到了象ON_COMMAND这样的宏的具体作用了，不错它们只不过定义了一种类型的消息映射项，看看ON_COMMAND的定义：
　　#define ON_COMMAND(id, memberFxn) \
　　{ WM_COMMAND, CN_COMMAND, (WORD)id, (WORD)id, AfxSig_vv, (AFX_PMSG)&memberFxn },
　　　根据上面的定义，ON_COMMAND(ID_FILE_NEW, OnFileNew)将被VC预编译器展开
　　　如下：
　　{WM_COMMAND, CN_COMMAND, (WORD)id, (WORD)id, AfxSig_vv,
　　(AFX_PMSG)&OnFileNew},

到此，MFC的消息映射机制已经清楚了，现在提出并解答两个问题以作为对这一节的小结。
　　为什么不直接使用虚拟函数实现消息处理函数呢？这是一个GOOD QUESTION。前面已经说过，MFC的设计者们在设计MFC时有一个很明确的目标，就是使得“MFC的代码尽可能小，速度尽可能快”，如果采用虚拟函数，那么对于所有的窗口消息，都必须有一个与之对应的虚拟函数，因而对每一个从CWnd派生的类而言，都会有一张很大的虚拟函数表vtbl。但是在实际应用中，一般只对少数的消息进行处理，大部分都交给系统缺省处理，所以表中的大部分项都是无用项，这样做就浪费了很多内存资源，这同MFC设计者们的设计目标是相违背的。当然，MFC所使用的方法只是解决这类问题的方式之一，不排除还有其他的解决方式，但就我个人观点而言，这是一种最好的解决方式，体现了很高的技巧性，值得我们学习。

　　至于这第二个问题，是由上面的问题引申出来的。如果在子类和父类中出现了相同的消息出来函数，VC编译器会怎么处理这个问题呢？VC不会将它们看作错误，而会象对待虚拟函数类似的方式去处理，但对于消息处理函数(带afx_msg前缀)，则不会生成虚拟函数表vtbl。

MFC下一个消息的处理过程是一般是这样的。
1、_AfxCbtFilterHook截获消息（这是一个钩子函数）
2、_AfxCbtFilterHook把窗口过程设定为AfxWndProc。
3、函数AfxWndProc接收Windows操作系统发送的消息。
4、函数AfxWndProc调用函数AfxCallWndProc进行消息处理。
5、函数AfxCallWndProc调用CWnd类的方法WindowProc进行消息处理。

如何添加自己的消息？
我们已经了解了WINDOW的消息机制，如何加入我们自己的消息呢？好我们来看
一个标准的消息处理程序是这个样子的
在 CWnd 类中预定义了标准 Windows 消息 (WM_XXXX WM是WINDOW MESSAGE的缩写) 的默认处理程序。类库基于消息名命名这些处理程序。例如，WM_PAINT 消息的处理程序在 CWnd 中被声明为：
afx_msg void OnPaint();
afx_msg 关键字通过使这些处理程序区别于其他 CWnd 成员函数来表明 C++ virtual 关键字的作用。但是请注意，这些函数实际上并不是虚拟的，而是通过消息映射实现的。我们在本文的一开始便说明了为什么要这样做。
所有能够进行消息处理的类都是基于CCmdTarget类的，也就是说CCmdTarget类是所有可以进行消息处理类的父类。CCmdTarget类是MFC处理命令消息的基础和核心。

若要重写基类中定义的处理程序，只需在派生类中定义一个具有相同原型的函数，并创建此处理程序的消息映射项。我们通过ClassWizard可以建立大多数窗口消息或自定义的消息，通过ClassWizard可以自动建立消息映射，和消息处理函数的框架，我们只需要把我们要做的事情填空,添加你要做的事情到处理函数。这个非常简单，就不细说了。但是也许我们需要添加一些ClassWizard不支持的窗口消息或自定义消息，那么就需要我们亲自动手建立消息映射和消息处理的框架，通常步骤如下：
第一步：定义消息。Microsoft推荐用户自定义消息至少是WM_USER+100，因为很多新控件也要使用WM_USER消息。
#define WM_MYMESSAGE (WM_USER + 100)

第二步：实现消息处理函数。该函数使用WPRAM和LPARAM参数并返回LPESULT。
LPESULT CMainFrame::OnMyMessage(WPARAM wParam, LPARAM lParam)
{
// TODO: 处理用户自定义消息，填空就是要填到这里。
return 0;
}
第三步：在类头文件的AFX_MSG块中说明消息处理函数：
// {{AFX_MSG(CMainFrame)
afx_msg LRESULT OnMyMessage(WPARAM wParam, LPARAM lParam);
//}}AFX_MSG
DECLARE_MESSAGE_MAP()
第四步：在用户类的消息块中，使用ON_MESSAGE宏指令将消息映射到消息处理函数中。

ON_MESSAGE( WM_MYMESSAGE, OnMyMessage )

钩子，几乎所有的键盘监控程序都使用钩子机制来捕获系统的击键信息。大家知道，在DOS操作系统下，如果要截获某种系统功能，可以在编程中采取截获中断的办法，比如要获取击键信息，可以使用9号中断调用，要获取应用程序对文件操作功能的调用可以截获21号中断。DOS下截获中断的方法是这样的随意和方便，不论是驱动程序还是应用程序都可以操作，这样就给一些恶意程序留下了可乘之机，对系统的安全造成了极大的隐患。而在Windows 2000下就不同了，Windows 2000采用了保护模式，在保护模式下的中断描述符表是受系统保护的，应用程序是不可能再通过修改中断向量来截获系统中断了。这在提供了更高安全性的同时，实际上对应用程序在调用底层功能方面造成了很大的不便。不过，Windows采取了一些变通的方法，将一些系统的底层调用封装在了自己的API函数中，通过向用户提供接口使用户可以受限的使用一些系统调用。

TIPS：钩子是Windows的消息处理机制中提供的一个监视点，应用程序可以在这里安装一个过滤程序，这样就可以在系统中的消息流到达目的程序前监控它们。也就是说，钩子可以用来截获系统中的消息流。

钩子简介
钩子没有系统的中断功能那么强大，并不能够随心所欲的截获系统的底层功能。可见，钩子是Windows消息机制中设置的一个监视点，应用程序可以在这里安装一个监视函数，这样就可以捕捉自己进程或者其它进程发生的事件。我们通过调用API函数SetWindowsHookEx函数就可以做到。SetWindowsHookEx函数定义了监视函数的位置、监视消息的类型、钩子的作用范围。每当出现钩子感兴趣的消息时，Windows就会将消息发送给监视函数。其中，监视函数由用户自己定义，是处理消息的回调函数。
根据钩子处理消息的作用范围不同，Windows所提供给我们的钩子可以分为两种类型：一是局部钩子，二是远程钩子。
局部钩子仅能够监控属于自身的事件，而远程钩子不仅可以监控自己进程中的事件，还可以用来钩挂其它进程中发生的事件。另外，远程钩子也有两种类型：其一是基于线程的，其二是基于系统的。基于线程的远程钩子是为了捕捉其它进程中某一特定线程的事件而设计的，而系统范围的远程钩子将捕捉系统中所有进程中发生的事件消息。
钩子一旦安装在系统中，会影响系统的性能，因为系统发出的这些被钩子监控的事件，都要经过钩子函数的处理，特别是对于系统范围的全局钩子。所以，钩子函数中的代码要尽量的节俭和高效，因为如果处理代码过多或者不够高效的话，系统的运行速度会受到明显的影响，这样就很容易被发现，所以对于系统范围的全局钩子一定要谨慎使用，而且，一旦钩子不用就要立即卸载掉。

钩子必备函数
要安装钩子，首先要使用SetWindowsHookEx函数，这个函数的原型如下：
HHOOK SetWindowsHookEx(
int idHook, // 要安装的钩子的类型
HOOKPROC lpfn, // 钩子函数的入口地址
HINSTANCE hMod, // 调用钩子函数的应用程序的实例句柄
DWORD dwThreadId // 要在其上安装钩子的线程的ID
);
idHook参数指定钩子的类型，钩子的类型如下表所示：
WH_CALLWNDPROC 每当调用SendMessage函数时，函数将消息发送给目标窗口过程前首先调用钩子函数
WH_CALLWNDPROCRET 每当调用SendMessage函数时，函数将消息发送给目标窗口过程后再调用钩子函数
WH_GETMESSAGE 每当调用GetMessage或PeekMessage函数时，函数从程序的消息队列中获取一个消息后调用该钩子函数
WH_KEYBOARD 每当调用GetMessage或PeekMessage函数时，如果从消息队列中得到的是WM_KEYUP或WM_KEYDOWN消息，则调用钩子函数
WH_MOUSE 每当调用GetMessage或PeekMessage函数时，如果从消息队列中得到的是鼠标消息，则调用钩子函数
WH_HARDWARE 每当调用GetMessage或PeekMessage函数时，如果从消息队列中得到的是非鼠标和键盘消息，则调用钩子函数
WH_MSGFILTER 当用户对对话框、菜单和滚动条有所操作时，系统在发送对应的消息之前调用钩子函数，这种钩子只能是局部的
WH_SYSMSGFILTER 同上，不过是系统范围的
WH_SHELL 当Windows shell程序准备接收一些通知事件前调用钩子函数，如shell被激活
WH_DEBUG 用来给其它钩子函数除错
WH_CBT 当基于计算机的训练事件发生时调用钩子函数
WH_JOURNALRECORD 日志记录钩子，用来记录发送给系统消息队列的所有消息，只能用作全局钩子
WH_JOURNALPLAYBACK 日志回放钩子，用来回放日志记录钩子记录的事件，只能用作全局钩子
WH_FOREGROUNDIDLE 系统空闲钩子，当系统空闲的时候调用钩子函数，这样就可以在这里安排一些优先级很低的任务
Lpfn参数用来传入钩子函数的入口地址。
hInstance参数用来指定钩子回调函数所在DLL的实例句柄。如果安装的是局部钩子的话，由于局部钩子的回调函数不需要放在动态链接库中，这时这个参数就使用NULL。
DwThreadID是安装钩子后想监控的线程的ID号。这个参数可以决定钩子是局部的还是系统范围的。如果参数指定的是自己进程中的某个线程的ID号，那么该钩子是一个局部钩子。如果指定的线程ID是另一个进程中某个线程的ID号，那么这个钩子就是一个局部的远程钩子。如果想要安装系统范围的全局钩子的话，可以将这个参数指定为NULL，这样钩子就会被解释成系统范围的，可以用来监控所有的进程及它们的线程。
返回值：如果钩子安装成功，函数返回钩子句柄，否则返回NULL。需要指出的是，钩子句柄必须保存下来，因为在回调函数和卸载钩子的时候还要用到这个句柄。
卸载钩子使用函数UnhookWindowsHookEx，这个函数的原型如下：
BOOL UnhookWindowsHookEx(
HHOOK hhk // 要卸载的钩子句柄
);
这个函数的参数只有一个，很简单，我就不多说了。

钩子编写思路
下面，我们结合WH_JOURNALRECORD类型的钩子，来对键盘记录进行示例介绍。
首先，在WH_JOURNALRECORD类型的钩子中，使用了这样一个钩子回调函数：
LRESULT CALLBACK JournalRecordProc(
int code, // hook code
WPARAM wParam, // undefined
LPARAM lParam // address of message being processed
);
各种类型的钩子的回调函数的参数都是这样三个，但是它们的定义各不相同，就像窗口过程在收到各种不同消息的时候，wParam和lParam的定义也各不相同。不同类型钩子的回调函数的返回值定义也是各不相同的。
对于日志记录钩子来说，参数的定义如下。
Code——指定如何处理消息。如果是HC_ACTION，表示lParam参数指向了一个EVENTMSG结构，这个结构中包含着一个从系统消息队列中移除的消息。同时，钩子的处理过程必须通过将这些记录的信息拷贝到缓冲区或者文件中，来记录EVENTMSG结构体的内容。如果是HC_SYSMODALOFF，表示一个系统模式对话框已经被销毁，钩子过程必须继续记录。如果是HC_SYSMODALON，表示一个系统模式对话框正在被显示出来。直到对话框被销毁掉，钩子的处理过程才会停止记录。
wParam——这个参数目前没有用到，为NULL。
lParam——这个参数指向一个EVENTMSG类型的结构体。
显然，我们对EVENTMSG结构体还是非常陌生，下面来看看这个结构体的定义。
typedef struct tagEVENTMSG { // em
UINT message;
UINT paramL;
UINT paramH;
DWORD time;
HWND hwnd;
} EVENTMSG;
message——指定捕获的消息。如果是针对键盘捕获，那么这个消息就是WM_KEYUP和WM_KEYDOWN消息。另外，这个参数还有可能传递系统的击键信息，如WM_SYSKEYUP、WM_SYSKEYDOWN、WM_SYSCHAR等消息。不过，我们这里既然是为了捕获键盘的字符信息，只要关心WM_KEYUP和WM_KEYDOWN就可以了。
ParamL——这个要看具体的消息来定。像我们要捕获的键盘信息，那么这个参数中将存放按键的虚拟码。
ParamH——这个要看具体的消息来定。像我们要捕获的键盘消息，那么这个参数中存放了按键的重复次数、扫描码和标志等数据，不同数据位的定义如下：
 位0-15：按键的重复次数。
 位16-24：按键的扫描码。
 位24：按键是否是扩展键（F1与F2等Fx键，小键盘数字键等），如果此位是1表示按键是扩展键。
 位25-28：未定义。
 位29：如果Alt键在按下状态，此位置1，否则置0。
 位30：按键的原先状态，消息发送前按键原来是按下的，此为被设置为1，否则置0。
 位31：按键的当前动作，如果是按键按下，那么此位被设置为0；按键释放的话被设置为1。
对于每个击键动作，钩子回调函数会在按键按下和释放的时候被调用两次，只需要根据lParam的位31中的标志来记录一次，否则得到的是重复信息。
另外，回调函数收到的参数是以按键的扫描码和虚拟码表示的，在送给主窗口之前需要将它转换成我们需要的ASCII码。在Windows中提供了一个API函数，专门用来完成这个转换，这个函数叫ToAscii，其定义如下：
int ToAscii(
UINT uVirtKey, // virtual-key code
UINT uScanCode, // scan code
PBYTE lpKeyState, // key-state array
LPWORD lpChar, // buffer for translated key
UINT uFlags // active-menu flag
);
各个参数的意义如下：
 uVirtKey——这个参数要传入按键的虚拟码，在使用时直接用钩子回调函数的EVENTMSG中的paramL参数就可以了。
 uScanCode——指定按键的扫描码，并用位15来表示按键按下还是释放，和回调函数的EVENTMSG的paramH参数对比可以看出，paramH参数的高16位就是需要的东西，所以我们可以将paramH右移16位后用作uScanCode参数。
 lpKeyState——指向一个256字节的缓冲区，其中存放键盘中所有按键的当前状态，一个字节表示一个按键，数值为1表示按下，为0表示释放，数据在缓冲区中的排列顺序按照VK_xx虚拟码的顺序排列。这是为了让函数得知键盘上各种控制键的状态（如shift，alt和ctrl），因为这些键是否被按下对转换出来的ASCII码有着至关重要的影响。这个缓冲区的填写，肯定不可能用手工进行，好在windows为我们提供了一个API函数GetKeyboardState，通过调用这个函数，并在参数中指定缓冲区的地址，我们就可以得到当前按键的所有状态。
 lpBuffer——用来指向一个缓冲区，以便接收转换后的ASCII码。
 uFlags——表示当前是否有一个菜单在激活状态，0表示没有，1表示有菜单正在激活。
函数返回转换后在lpBuffer中的字符的数量，可能是0（如按键放开时不产生字符）、1或者2。
GetKeyboardState函数的原型如下：
BOOL GetKeyboardState(
PBYTE lpKeyState // pointer to array to receive status data
);
对于shift控制键来说，GetKeyboardState函数返回的状态是区分左右键的（分别对应VK_LSHIFT和VK_RSHIFT），而ToAscii函数检测的是VK_SHIFT，不区分左右的，所以，当按下shift键的时候可能不会影响到VK_SHIFT的值，所以我们必须使用GetKeyState函数对VK_SHIFT的状态进行处理。
另外，对于日志记录钩子回调函数的返回值，在微软的文档中没有做定义，可以忽略。

打造自己的钩子
下面，我们来看一下程序，这个程序在附书光盘的源代码中，名字叫RecHook。首先，我们要先定义几个变量：
HHOOK hHook; //钩子的句柄
int iCount=0; //循环计数值
CFile KeyStrokeFile; //记录键盘击键信息的文件
CString strInput; //缓冲键盘输入的字符串
其次，我们要在stdafx.h文件中定义一个钩子处理函数：
long __stdcall HookProc(int dwCode,WPARAM wParam,LPARAM lParam);
接下来，我们添加一个程序的开始函数，名字叫OnStart，在其中做打开文件，设置钩子的操作。
void CRecHookDlg::OnStart()
{
KeyStrokeFile.Open("c://keystroke.txt",
CFile::modeCreate |
CFile::modeNoTruncate |
CFile::modeWrite |
CFile::shareDenyNone
);
//安装钩子
hHook=SetWindowsHookEx(WH_JOURNALRECORD,HookProc,AfxGetApp()->m_hInstance,NULL);
}
我们写钩子处理函数，如下所示：
//钩子处理函数
long __stdcall HookProc(int dwCode,WPARAM wParam, LPARAM lParam)
{
EVENTMSG *pEventMsg; //定义一个消息结构变量
pEventMsg=(EVENTMSG *)lParam; //将lParam赋给消息结构变量
BYTE tmp[1]; //存放通过ToAscii()得到的击键值的低8位
if(strInput.GetLength()==2000) //如果字符数达到了2000，就写文件
{
KeyStrokeFile.SeekToEnd();
KeyStrokeFile.Write(strInput, strInput.GetLength());
strInput.Empty(); //文件写完之后，将字符串清空，以备下次使用
}
if((dwCode==HC_ACTION))
{
switch(pEventMsg->message)
{
case WM_KEYDOWN: //对按键消息进行处理
BYTE bKeyState[256]; //用来存放键盘状态的缓冲区
unsigned short uAscii[4]; //ToAscii()函数中要用到的缓冲区
UINT uScanCode; //键盘扫描码
int iRet; //函数返回值
GetKeyboardState(bKeyState); //得到键盘状态
bKeyState[VK_SHIFT]=GetKeyState(VK_SHIFT);//对shift键进行处理
uScanCode=(pEventMsg->paramH>>16); //得到键盘扫描码
//转换为ASCII码
iRet=ToAscii(pEventMsg->paramL,uScanCode,bKeyState,uAscii,0);
//对返回值进行判断
switch(iRet)
{
case 0: //为0就直接break
return iRet;
break;
case 1: //为1说明有ASCII字符的击键
tmp[0]=uAscii[0];
if(tmp[0]==0x08)//如果是backspace，则要回退一个字符
strInput = strInput.Left(strInput.GetLength() - 1);
else
strInput+=tmp[0];
break;
default:
break;
}
default:
break;
}
}
//进行下一个钩子调用
return CallNextHookEx(hHook,dwCode,wParam,lParam);
}
最后，在退出程序的函数中，我们必须将没有写到文件中的字符写入文件，另外，还要将安装上的钩子卸载掉。
void CRecHookDlg::OnCancel()
{
//如果字符串中的字符数小于2000，说明最后的输入没有写入文件。显然，这里需要做的工作是将最后一次在缓冲区存放的字符写入文件中
if(strInput.GetLength()<=2000)
{
KeyStrokeFile.SeekToEnd();
KeyStrokeFile.Write(strInput, strInput.GetLength());
}
//卸载钩子
UnhookWindowsHookEx(hHook);
//关闭文件
KeyStrokeFile.Close();
CDialog::OnCancel();
}

Windows系统是建立在事件驱动的机制上的，说穿了就是整个系统都是通过消息的传递来实现的。而钩子是Windows系统中非常重要的系统接口，用它可以截获并处理送给其他应用程序的消息，来完成普通应用程序难以实现的功能。钩子可以监视系统或进程中的各种事件消息，截获发往目标窗口的消息并进行处理。这样，我们就可以在系统中安装自定义的钩子，监视系统中特定事件的发生，完成特定的功能，比如截获键盘、鼠标的输入，屏幕取词，日志监视等等。可见，利用钩子可以实现许多特殊而有用的功能。因此，对于高级编程人员来说，掌握钩子的编程方法是很有必要的。

钩子的类型
　　一．按事件分类，有如下的几种常用类型
　　（1）键盘钩子和低级键盘钩子可以监视各种键盘消息。
　　（2）鼠标钩子和低级鼠标钩子可以监视各种鼠标消息。
　　（3）外壳钩子可以监视各种Shell事件消息。比如启动和关闭应用程序。
　　（4）日志钩子可以记录从系统消息队列中取出的各种事件消息。
　　（5）窗口过程钩子监视所有从系统消息队列发往目标窗口的消息。
　　此外，还有一些特定事件的钩子提供给我们使用，不一一列举。
下面描述常用的Hook类型：
1、WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks
WH_CALLWNDPROC和WH_CALLWNDPROCRET Hooks使你可以监视发送到窗口过程的消息。系统在消息发送到接收窗口过程之前调用WH_CALLWNDPROC Hook子程，并且在窗口过程处理完消息之后调用WH_CALLWNDPRO
CRET Hook子程。WH_CALLWNDPROCRET Hook传递指针到CWPRETSTRUCT结构，再传递到Hook子程。CWPRETSTRUCT结构包含了来自处理消息的窗口过程的返回值，同样也包括了与这个消息关联的消息参数。
2、WH_CBT Hook
在以下事件之前，系统都会调用WH_CBT Hook子程，这些事件包括：
1. 激活，建立，销毁，最小化，最大化，移动，改变尺寸等窗口事件；
2. 完成系统指令；
3. 来自系统消息队列中的移动鼠标，键盘事件；
4. 设置输入焦点事件；
5. 同步系统消息队列事件。
Hook子程的返回值确定系统是否允许或者防止这些操作中的一个。
3、WH_DEBUG Hook
在系统调用系统中与其他Hook关联的Hook子程之前，系统会调用WH_DEBUG Hook子程。你可以使用这个Hook来决定是否允许系统调用与其他Hook关联的Hook子程。
4、WH_FOREGROUNDIDLE Hook
当应用程序的前台线程处于空闲状态时，可以使用WH_FOREGROUNDIDLE Hook执行低优先级的任务。当应用程序的前台线程大概要变成空闲状态时，系统就会调用WH_FOREGROUNDIDLE Hook子程。
5、WH_GETMESSAGE Hook
应用程序使用WH_GETMESSAGE Hook来监视从GetMessage or PeekMessage函数返回的消息。你可以使用WH_GETMESSAGE Hook去监视鼠标和键盘输入，以及其他发送到消息队列中的消息。
6、WH_JOURNALPLAYBACK Hook
WH_JOURNALPLAYBACK Hook使应用程序可以插入消息到系统消息队列。可以使用这个Hook回放通过使用WH_JOURNALRECORD Hook记录下来的连续的鼠标和键盘事件。只要WH_JOURNALPLAYBACK Hook已经安装，正常的鼠标和键盘事件就是无效的。WH_JOURNALPLAYBACK Hook是全局Hook，它不能象线程特定Hook一样使用。WH_JOURNALPLAYBACK Hook返回超时值，这个值告诉系统在处理来自回放Hook当前消息之前需要等待多长时间（毫秒）。这就使Hook可以控制实时事件的回放。WH_JOURNALPLAYBACK是system-wide local hooks，它們不會被注射到任何行程位址空間。（估计按键精灵是用这个hook做的）
7、WH_JOURNALRECORD Hook
WH_JOURNALRECORD Hook用来监视和记录输入事件。典型的，可以使用这个Hook记录连续的鼠标和键盘事件，然后通过使用WH_JOURNALPLAYBACK Hook来回放。WH_JOURNALRECORD Hook是全局Hook，它不能象线程特定Hook一样使用。WH_JOURNALRECORD是system-wide local hooks，它們不會被注射到任何行程位址空間。
8、WH_KEYBOARD Hook
在应用程序中，WH_KEYBOARD Hook用来监视WM_KEYDOWN and WM_KEYUP消息，这些消息通过GetMessage or PeekMessage function返回。可以使用这个Hook来监视输入到消息队列中的键盘消息。
9、WH_KEYBOARD_LL Hook
WH_KEYBOARD_LL Hook监视输入到线程消息队列中的键盘消息。
10、WH_MOUSE Hook
WH_MOUSE Hook监视从GetMessage 或者 PeekMessage 函数返回的鼠标消息。使用这个Hook监视输入到消息队列中的鼠标消息。
11、WH_MOUSE_LL Hook
WH_MOUSE_LL Hook监视输入到线程消息队列中的鼠标消息。
12、WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks
WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以监视菜单，滚动条，消息框，对话框消息并且发现用户使用ALT+TAB or ALT+ESC 组合键切换窗口。WH_MSGFILTER Hook只能监视传递到菜单，滚动条，消息框的消息，以及传递到通过安装了Hook子程的应用程序建立的对话框的消息。WH_SYSMSGFILTER Hook监视所有应用程序消息。WH_MSGFILTER 和 WH_SYSMSGFILTER Hooks使我们可以在模式循环期间过滤消息，这等价于在主消息循环中过滤消息。通过调用CallMsgFilter function可以直接的调用WH_MSGFILTER Hook。通过使用这个函数，应用程序能够在模式循环期间使用相同的代码去过滤消息，如同在主消息循环里一样。
13、WH_SHELL Hook
外壳应用程序可以使用WH_SHELL Hook去接收重要的通知。当外壳应用程序是激活的并且当顶层窗口建立或者销毁时，系统调用WH_SHELL Hook子程。
WH_SHELL 共有５钟情況：
1. 只要有个top-level、unowned 窗口被产生、起作用、或是被摧毁；
2. 当Taskbar需要重画某个按钮；
3. 当系统需要显示关于Taskbar的一个程序的最小化形式；
4. 当目前的键盘布局状态改变；
5. 当使用者按Ctrl+Esc去执行Task Manager（或相同级别的程序）。
按照惯例，外壳应用程序都不接收WH_SHELL消息。所以，在应用程序能够接收WH_SHELL消息之前，应用程序必须调用SystemParametersInfo function注册它自己。
以上是13种常用的hook类型！
　　二．按使用范围分类，主要有线程钩子和系统钩子
　　（1）线程钩子监视指定线程的事件消息。
　　（2）系统钩子监视系统中的所有线程的事件消息。因为系统钩子会影响系统中所有的应用程序，所以钩子函数必须放在独立的动态链接库(DLL)
中。这是系统钩子和线程钩子很大的不同之处。
　　几点需要说明的地方：
　　（1）如果对于同一事件（如鼠标消息）既安装了线程钩子又安装了系统钩子，那么系统会自动先调用线程钩子，然后调用系统钩子。
　　（2）对同一事件消息可安装多个钩子处理过程，这些钩子处理过程形成了钩子链。当前钩子处理结束后应把钩子信息传递给下一个钩子函数。而且最近安装的钩子放在链的开始，而最早安装的钩子放在最后，也就是后加入的先获得控制权。
　　（3）钩子特别是系统钩子会消耗消息处理时间，降低系统性能。只有在必要的时候才安装钩子，在使用完毕后要及时卸载。
编写钩子程序
　　编写钩子程序的步骤分为三步：定义钩子函数、安装钩子和卸载钩子。
　　1．定义钩子函数
　　钩子函数是一种特殊的回调函数。钩子监视的特定事件发生后，系统会调用钩子函数进行处理。不同事件的钩子函数的形式是各不相同的。下面以鼠标钩子函数举例说明钩子函数的原型：
LRESULT CALLBACK HookProc(int nCode ,WPARAM wParam,LPARAM lParam)
参数wParam和 lParam包含所钩消息的信息，比如鼠标位置、状态，键盘按键等。nCode包含有关消息本身的信息，比如是否从消息队列中移出。
我们先在钩子函数中实现自定义的功能，然后调用函数 CallNextHookEx.把钩子信息传递给钩子链的下一个钩子函数。CallNextHookEx.的原型如下：
LRESULT CallNextHookEx( HHOOK hhk, int nCode, WPARAM wParam, LPARAM lParam )
参数 hhk是钩子句柄。nCode、wParam和lParam 是钩子函数。
当然也可以通过直接返回TRUE来丢弃该消息，就阻止了该消息的传递。
2．安装钩子
　　在程序初始化的时候，调用函数SetWindowsHookEx安装钩子。其函数原型为：
HHOOK SetWindowsHookEx( int idHook,HOOKPROC lpfn, INSTANCE hMod,DWORD dwThreadId )
参数idHook表示钩子类型，它是和钩子函数类型一一对应的。比如，WH_KEYBOARD表示安装的是键盘钩子，WH_MOUSE表示是鼠标钩子等等。
　　Lpfn是钩子函数的地址。
　　HMod是钩子函数所在的实例的句柄。对于线程钩子，该参数为NULL；对于系统钩子，该参数为钩子函数所在的DLL句柄。
　　 dwThreadId 指定钩子所监视的线程的线程号。对于全局钩子，该参数为NULL。
　　SetWindowsHookEx返回所安装的钩子句柄。
　　3．卸载钩子
　　当不再使用钩子时，必须及时卸载。简单地调用函数 BOOL UnhookWindowsHookEx( HHOOK hhk)即可。
　　
值得注意的是线程钩子和系统钩子的钩子函数的位置有很大的差别。线程钩子一般在当前线程或者当前线程派生的线程内，而系统钩子必须放在独立的动态链接库中，实现起来要麻烦一些。

线程钩子的编程实例：
　　按照上面介绍的方法实现一个线程级的鼠标钩子。钩子跟踪当前窗口鼠标移动的位置变化信息。并输出到窗口。
　　(1)在VC＋＋6.0中利用MFC
APPWizard（EXE）生成一个不使用文档/视结构的单文档应用mousehook。打开childview.cpp文件，加入全局变量：
HHOOK hHook;//鼠标钩子句柄
CPoint point;//鼠标位置信息
CChildView ＊pView;
// 鼠标钩子函数用到的输出窗口指针

　　在CChildView::OnPaint()添加如下代码：
CPaintDC dc(this);
char str[256];
sprintf(str,“x=％d,y=％d",point.x,point.y);
//构造字符串
dc.TextOut(0,0,str); //显示字符串

　　(2)childview.cpp文件中定义全局的鼠标钩子函数。
LRESULT CALLBACK MouseProc
(int nCode, WPARAM wParam, LPARAM lParam)
{//是鼠标移动消息
if(wParam==WM_MOUSEMOVE||wParam
==WM_NCMOUSEMOVE)
{
point=((MOUSEHOOKSTRUCT ＊)lParam)－>pt;
//取鼠标信息
pView－>Invalidate(); //窗口重画
}
return CallNextHookEx(hHook,nCode,wParam,lParam);
//传递钩子信息
}
(3)CChildView类的构造函数中安装钩子。
CChildView::CChildView()
{
pView=this;//获得输出窗口指针
hHook=SetWindowsHookEx(WH_MOUSE,MouseProc,0,GetCurrentThreadId());
}
(4)CChildView类的析构函数中卸载钩子。
CChildView::～CChildView()
{
if(hHook)
UnhookWindowsHookEx(hHook);
}

系统钩子的编程实例：
由于系统钩子要用到dll，所以先介绍下win32 dll的特点：
Win32 DLL与 Win16 DLL有很大的区别，这主要是由操作系统的设计思想决定的。一方面，在Win16 DLL中程序入口点函数和出口点函数（LibMain和WEP）是分别实现的；而在Win32 DLL中却由同一函数DLLMain来实现。无论何时，当一个进程或线程载入和卸载DLL时，都要调用该函数，它的原型是BOOL WINAPI DllMain
(HINSTANCE hinstDLL,DWORD fdwReason, LPVOID lpvReserved);，其中，第一个参数表示DLL的实例句柄；第三个参数系统保留；这里主要介绍一下第二个参数，它有四个可能的值：DLL_PROCESS_ATTACH（进程载入），DLL_THREAD_ATTACH（线程载入），DLL_THREAD_DETACH（线程卸载），DLL_PROCESS_DETACH（进程卸载），在DLLMain函数中可以对传递进来的这个参数的值进行判别，并根据不同的参数值对DLL进行必要的初始化或清理工作。举个例子来说，当有一个进程载入一个DLL时，系统分派给DLL的第二个参数为DLL_PROCESS_ATTACH，这时，你可以根据这个参数初始化特定的数据。另一方面，在Win16环境下，所有应用程序都在同一地址空间；而在Win32环境下，所有应用程序都有自己的私有空间，每个进程的空间都是相互独立的，这减少了应用程序间的相互影响，但同时也增加了编程的难度。大家知道，在Win16环境中，DLL的全局数据对每个载入它的进程来说都是相同的；而在Win32环境中，情况却发生了变化，当进程在载入DLL时，系统自动把DLL地址映射到该进程的私有空间，而且也复制该DLL的全局数据的一份拷贝到该进程空间，也就是说每个进程所拥有的相同的DLL的全局数据其值却并不一定是相同的。因此，在Win32环境下要想在多个进程中共享数据，就必须进行必要的设置。亦即把这些需要共享的数据分离出来，放置在一个独立的数据段里，并把该段的属性设置为共享。
在VC6中有三种形式的MFC DLL（在该DLL中可以使用和继承已有的MFC类)可供选择，即Regular statically linked to MFC DLL（标准静态链接MFC DLL）和Regular using the shared MFC DLL（标准动态链接MFC DLL）以及Extension MFC DLL（扩展MFC DLL）。第一种DLL的特点是，在编译时把使用的MFC代码加入到DLL中，因此，在使用该程序时不需要其他MFC动态链接类库的存在，但占用磁盘空间比较大；第二种DLL的特点是，在运行时，动态链接到MFC类库，因此减少了空间的占用，但是在运行时却依赖于MFC动态链接类库；这两种DLL既可以被MFC程序使用也可以被Win32程序使用。第三种DLL的特点类似于第二种，做为MFC类库的扩展，只能被MFC程序使用。
下面说说在VC6中全局共享数据的实现
　　在主文件中，用#pragma data_seg建立一个新的数据段并定义共享数据，其具体格式为：
　　#pragma data_seg （"shareddata")
　　HWND sharedwnd=NULL;//共享数据
　　#pragma data_seg()
　　仅定义一个数据段还不能达到共享数据的目的，还要告诉编译器该段的属性，有两种方法可以实现该目的（其效果是相同的），一种方法是在.DEF文件中加入如下语句：
SETCTIONS shareddata READ WRITE SHARED
　　另一种方法是在项目设置链接选项中加入如下语句：
　　/SECTION:shareddata,rws
好了，准备知识已经学完了，让我们开始编写个全局的钩子程序吧！

由于全局钩子函数必须包含在动态链接库中，所以本例由两个程序体来实现。
1．建立钩子Mousehook.DLL
　　(1)选择MFC AppWizard(DLL)创建项目Mousehook；
　　(2)选择MFC Extension DLL（共享MFC拷贝）类型；
　　(3)由于VC5没有现成的钩子类，所以要在项目目录中创建Mousehook.h文件，在其中建立钩子类：
　　class AFX_EXT_CLASS Cmousehook:public CObject
　　{
　　public:
　　Cmousehook();
　　//钩子类的构造函数
　　~Cmousehook();
　　//钩子类的析构函数
　　BOOL starthook(HWND hWnd);
　　//安装钩子函数
　　BOOL stophook();
　　卸载钩子函数
　　};
　　(4)在Mousehook.app文件的顶部加入#include"Mousehook.h"语句；
　　(5)加入全局共享数据变量：
　　#pragma data_seg("mydata")
　　HWND glhPrevTarWnd=NULL;
　　//上次鼠标所指的窗口句柄
　　HWND glhDisplayWnd=NULL;
　　//显示目标窗口标题编辑框的句柄
　　HHOOK glhHook=NULL;
　　//安装的鼠标钩子句柄
　　HINSTANCE glhInstance=NULL;
　　//DLL实例句柄
　　#pragma data_seg()
　　(6)在DEF文件中定义段属性：
　　SECTIONS
　　mydata READ WRITE SHARED
　　(7)在主文件Mousehook.cpp的DllMain函数中加入保存DLL实例句柄的语句：
　　DllMain(HINSTANCE hInstance, DWORD dwReason, LPVOID lpReserved)
　　{
　　//如果使用lpReserved参数则删除下面这行
　　UNREFERENCED_PARAMETER(lpReserved);
　　if (dwReason == DLL_PROCESS_ATTACH)
　　{
　　 TRACE0("MOUSEHOOK.DLL Initializing!/n");
　　 //扩展DLL仅初始化一次
　　 if (!AfxInitExtensionModule(MousehookDLL, hInstance))
　　 return 0;
　　 new CDynLinkLibrary(MousehookDLL);
　　 //把DLL加入动态MFC类库中
　　 glhInstance=hInstance;
　　 //插入保存DLL实例句柄
　　}
　　else if (dwReason == DLL_PROCESS_DETACH)
　　{
　　 TRACE0("MOUSEHOOK.DLL Terminating!/n");
　　 //终止这个链接库前调用它
　　 AfxTermExtensionModule(MousehookDLL);
　　}
　　return 1;
　　}
　　(8)类Cmousehook的成员函数的具体实现：
　　Cmousehook::Cmousehook()
　　//类构造函数
　　{
　　}
　　Cmousehook::~Cmousehook()
　　//类析构函数
　　{
　　stophook();
　　}
　　BOOL Cmousehook::starthook(HWND hWnd)
　　//安装钩子并设定接收显示窗口句柄
　　{
　　BOOL bResult=FALSE;
　　glhHook=SetWindowsHookEx(WH_MOUSE,MouseProc,glhInstance,0);
　　if(glhHook!=NULL)
　　 bResult=TRUE;
　　glhDisplayWnd=hWnd;
　　//设置显示目标窗口标题编辑框的句柄
　　return bResult;
　　}
　　BOOL Cmousehook::stophook()
　　//卸载钩子
　　{
　　BOOL bResult=FALSE;
　　if(glhHook)
　　{
　　 bResult= UnhookWindowsHookEx(glhHook);
　　 if(bResult)
　　 {
　　 glhPrevTarWnd=NULL;
　　 glhDisplayWnd=NULL;//清变量
　　 glhHook=NULL;
　　 }
　　}
　　return bResult;
　　}
　　(9)钩子函数的实现：
　　LRESULT WINAPI MouseProc(int nCode,WPARAM wparam,LPARAM lparam)
　　{
　　LPMOUSEHOOKSTRUCT pMouseHook=(MOUSEHOOKSTRUCT FAR *) lparam;
　　 if (nCode>=0)
　　 {
　　HWND glhTargetWnd=pMouseHook->hwnd;
　　//取目标窗口句柄
　　 HWND ParentWnd=glhTargetWnd;
　　 while (ParentWnd !=NULL)
　　 {
　　 glhTargetWnd=ParentWnd;
　　 ParentWnd=GetParent(glhTargetWnd);
　　 //取应用程序主窗口句柄
　　 }
　　 if(glhTargetWnd!=glhPrevTarWnd)
　　 {
　　 char szCaption[100];
　　 GetWindowText(glhTargetWnd,szCaption,100);
　　 //取目标窗口标题
　　 if(IsWindow(glhDisplayWnd))
　　 SendMessage(glhDisplayWnd,WM_SETTEXT,0,(LPARAM)(LPCTSTR)szCaption);
　　 glhPrevTarWnd=glhTargetWnd;
　　 //保存目标窗口
　　 }
　　 }
　　 return CallNextHookEx(glhHook,nCode,wparam,lparam);
　　 //继续传递消息
　　}
　　(10)编译项目生成mousehook.dll。
　　2．创建钩子可执行程序
　　(1)用MFC的AppWizard(EXE)创建项目Mouse；
　　(2)选择“基于对话应用”并按下“完成”键；
　　(3)编辑对话框，删除其中原有的两个按钮，加入静态文本框和编辑框，用鼠标右键点击静态文本框，在弹出的菜单中选择“属性”，设置其标题为“鼠标所在的窗口标题”；

　　(4)在Mouse.h中加入对Mousehook.h的包含语句#Include"../Mousehook/Mousehook.h"；
　　(5)在CMouseDlg.h的CMouseDlg类定义中添加私有数据成员：
　　CMouseHook m_hook;//加入钩子类作为数据成员
　　(6)修改CmouseDlg::OnInitDialog()函数：
　　BOOL CMouseDlg::OnInitDialog()
　　{
　　CDialog::OnInitDialog();
　　ASSERT((IDM_ABOUTBOX & 0xFFF0) == IDM_ABOUTBOX);
　　ASSERT(IDM_ABOUTBOX <0xF000);
　　CMenu* pSysMenu = GetSystemMenu(FALSE);
　　if (pSysMenu != NULL)
　　{
　　 CString strAboutMenu;
　　 strAboutMenu.LoadString(IDS_ABOUTBOX);
　　 if (!strAboutMenu.IsEmpty())
　　 {
　　 pSysMenu->AppendMenu(MF_SEPARATOR);
　　 pSysMenu->AppendMenu(MF_STRING, IDM_ABOUTBOX, strAboutMenu);
　　 }
　　}
　　SetIcon(m_hIcon, TRUE);//Set big icon
　　SetIcon(m_hIcon, FALSE);//Set small icon
　　//TODO: Add extra initialization here
　　CWnd * pwnd=GetDlgItem(IDC_EDIT1);
　　//取得编辑框的类指针
　　m_hook.starthook(pwnd->GetSafeHwnd());
　　//取得编辑框的窗口句柄并安装钩子
　　return TRUE;
　　//return TRUE unless you set the focus to a control
　　}
　　(7)链接DLL库，即把../Mousehook/debug/Mousehook.lib加入到项目设置链接标签中；
　　(8)编译项目生成可执行文件；
　　(9)把Mousehook.DLL拷贝到../mouse/debug目录中；
　　(10)先运行几个可执行程序，然后运行Mouse.exe程序，把鼠标在不同窗口中移动，在Mouse.exe程序窗口中的编辑框内将显示出鼠标所在的应用程序主窗口的标题。

Windows钩子

Windows应用程序的运行模式是基于消息驱动的，任何线程只要注册了窗口类就会有一个消息队列来接收用户的输入消息和系统消息。为了取得特定线程接收或发送的消息，就要 Windows提供的钩子。

钩子的概念

钩子（Hook）是Windows消息处理机制中的一个监视点，应用程序可以在这里安装一个子程序（钩子函数）以监视指定窗口某种类型的消息，所监视的窗口可以是其他进程创建的。当消息到达后，在目标窗口处理函数处理之前，钩子机制允许应用程序截获它进行处理。

钩子函数是一个处理消息的程序段，通过调用相关的API函数，把它挂入系统。每当特定的消息发出，在没有到达目的窗口前，钩子程序就捕获该消息，亦即钩子函数先得到控制权。这时钩子函数即可以加工处理（改变）该消息，也可以不作处理而继续传递该消息。

总之，关于Windows钩子要知道以下几点：

1．钩子是用截获系统中的消息流。利用钩子，可以处理任何感兴趣的消息，包括其他进程的消息。

2．截获消息后，用于处理消息的子程序叫做钩子函数，它是应用程序自定义的一个函数，在安装钩子时要把这个函数的地址告诉Windows。

3．系统中同一时间可能有多个进程安装了钩子，多个钩子函数在一起组成钩子链。所以在处理截获到的消息时，应该把消息事件传递下去，以便其他钩子也有机会处理这一消息。

钩子会使得系统变慢，因为它增加了系统对每个消息的处理量。仅应该在必要时才安装钩子，而且在不需要时应尽快移除。

钩子的安装

SetWindowsHookEx函数可以把应用程序定义的钩子函数安装到系统中。

HHOOK SetWindowsHookEx(

Int idHook ; // 指定钩子的类型

HOOKPROC lpfn; //钩子函数的地址。如果使用的是远程钩子，钩子函数必须放在一个DLL中。

HINSTANCE hMod; //钩子函数所在DLL的实例句柄。如果是一个局部的钩子，该参数为NULL。

DWORD dwThreadID; //指定要为哪个线程安装钩子。若该值为0被解释成系统范围内的。

）

IdHook参数指定了要安装的钩子的类型，可以是下列取值之一：

WH_CALLWNDPROC 当目标线程调用SendMessage函数发送消息时，钩子函数被调用。

WH_CALLWNDPROCRET 当SendMessage发送的消息返回时，钩子函数被调用。

WH_GETMESSAGE 当目标线程调用GetMessage或者PeekMessage时。

WH_KEYBOARD 当从消息队列中查询WM_KEYUP或WM_KEYDOWN消息时

WH_MOUSE 当调用从消息队列中查询鼠标事件消息时

WH_MSGFILTER 当对话框，菜单或滚动条要处理一个消息时，钩子函数被调用。该钩子是局部的，它是为哪些有自己消息处理过程的控件对象设计的。

WH_SYSMSGFILTER 和WH_MSGFILTER一样，只不过是系统范围的。

WH_JOURNALRECORD 当Windows从硬件队列中获取消息时。

WH_JOURNALPLAYBACK 当一个事件从系统的硬件输入队列中别请求时

WH_SHELL 当关于Windows外壳事件发生时，比如任务条需要重画它的按钮

WH_CBT 当基于计算机的训练（CBT）事件发生时。

WH_FOREGROUNDIDLE Windows自己使用，一般应用程序很少使用。

WH_DEBUG 用来给钩子函数除错。

Lpfn参数是钩子函数的地址。钩子安装后如果有消息发生，Windows将调用此参数所指向的函数。

如果dwThreadId参数是0，或者指定一个由其他进程创建的线程ID，lpfn参数指向的钩子函数必须位于一个DLL中。这是因为进程的地址空间是相互隔离的，发生事件的进程不能调用其他进程地址空间的钩子函数。如果钩子函数的实现代码在DLL中，在相关事件发生时，系统会把这个DLL插入到发生事件的进程的地址空间，使它能够调用钩子函数。这种需要将钩子函数写入DLL以便挂钩其他进程事件的钩子称为远程钩子。

如果dwThreadId参数指定一个由自身进程创建的线程ID，lpfn参数指向的钩子函数只要在当前进程中即可，不必非要写入DLL。这种挂钩属于自身进程事件的钩子称为局部钩子。

hMod参数是钩子函数所在DLL的实例句柄，如果钩子函数不再DLL中，应将hMod设置为NULL。

dwThreadId参数指定要与钩子函数相关联的线程ID号。如果设为0，那么钩子就是系统范围内的，即钩子函数将关联到系统内所有线程。

钩子函数

钩子安装后如果有相应的消息发生，Windows将调用SetWindowsHookEx函数指定的钩子函数lpfn。钩子函数的一般形式如下：

LRESULT CALLBACK HookProc(int nCode, WPARAM wParam, LPARAM lParam)

{

// 处理该消息的代码 …..

Return ::CallNextHookEx(hHook,nCode,wParam,lParam);

}

HookProc是应用程序的名称。nCode参数是Hook代码，钩子函数使用这个参数来确定任务，它的值依赖于Hook的类型。wParam和lParam参数的值依赖于Hook代码，但是它们典型的值是一些关于发送或者接收消息的信息。

因为系统中可能会有多个钩子的存在，所以要调用那个CallNextHookEx函数把消息传到链中下一个钩子函数。hHook参数是安装钩子时得到的钩子句柄（SetWindowsHookEx的返回值）。

卸载钩子

要卸载钩子，可以调用UnhookWindowsHookEx函数。

BOOL UnhookWindowsHookEx(HHOOK hhk); // hhk 为要卸载的钩子的句柄

注意：

1．安装钩子的代码可以在DLL模块中，也可以在主模块中，但是一般在DLL里实现它，主要是为了使程序更加模块化。

例子（HOOK键盘消息）

1.dll库的生成（只是部分重要的文件，没有全部贴出）

//ke

//The following ifdef block is the standard way of creating macros which make exporting

// from a DLL simpler. All files within this DLL are compiled with the KEYHOOKLIB_EXPORTS

// symbol defined on the command line. this symbol should not be defined on any project

// that uses this DLL. This way any other project whose source files include this file see

// KEYHOOKLIB_API functions as being imported from a DLL, wheras this DLL sees symbols

// defined with this macro as being exported.

#ifdef KEYHOOKLIB_EXPORTS

#define KEYHOOKLIB_API __declspec(dllexport)

#else

#define KEYHOOKLIB_API __declspec(dllimport)

#endif

// 自定义与主程序通信的消息

#define HM_KEY WM_USER+1

// 声明要导出的函数

BOOL KEYHOOKLIB_API WINAPI SetKeyHook(BOOL bInstall,

DWORD dwThreadId = 0,

HWND hWndCaller = NULL

);

// KeyHookLib.cpp : Defines the entry point for the DLL application.

#include "stdafx.h"

#include "KeyHookLib.h"

// 共享数据段

#pragma data_seg("YCIShared")

HWND g_hWndCaller = NULL;

HHOOK g_hHook = NULL;

#pragma data_seg()

LRESULT CALLBACK KeyHookProc(int nCode, WPARAM wParam, LPARAM lParam);

// 一个通过内存地址取得模块句柄的帮助函数。

HMODULE WINAPI ModuleFromAddress(PVOID pv)

{

MEMORY_BASIC_INFORMATION mbi;

if(VirtualQuery(pv,&mbi,sizeof(mbi)) != 0)

{

return (HMODULE)mbi.AllocationBase;

}else

{

return NULL;

}

// 安装钩子，卸载钩子的函数

BOOL WINAPI SetKeyHook(

BOOL bInstall, // 安装还是卸载已安装的钩子

DWORD dwThreadId, // 目标线程的ID

HWND hWndCaller) // 指定主窗口的句柄，钩子函数会向这个窗口发送通知信息。

{

BOOL bOk;

g_hWndCaller = hWndCaller;

if(bInstall)

{

g_hHook = SetWindowsHookEx(

WH_KEYBOARD,

KeyHookProc,

ModuleFromAddress(KeyHookProc),

dwThreadId);

bOk = (g_hHook != NULL);

}

else

{

bOk = UnhookWindowsHookEx(g_hHook);

g_hHook = NULL;

}

return bOk;

}

// 键盘钩子函数

LRESULT CALLBACK KeyHookProc(int nCode, WPARAM wParam, LPARAM lParam)

{

if(nCode<0 || nCode == HC_NOREMOVE )

return CallNextHookEx(g_hHook,nCode,wParam,lParam);

if(lParam & 0x40000000) // 消息重复就交给下一个HOOK链

return CallNextHookEx(g_hHook,nCode,wParam,lParam);

// 通知主窗口。wParam参数为虚拟键码，lParam包含了此键的信息

::PostMessage(g_hWndCaller,HM_KEY,wParam,lParam);

return CallNextHookEx(g_hHook,nCode,wParam,lParam);

}

// keyhooklib.def

EXPORTS

SetKeyHook

SECTIONS

YCIShared Read Write Shared

2.应用
以对话框为基础建立工程（keyhookapp），改动的文件如下：

// KeyHookAppDlg.cpp : implementation file
//

#include "stdafx.h"
#include "KeyHookApp.h"
#include "KeyHookAppDlg.h"
#include "KeyHookLib.h"
#pragma comment(lib,"KeyHookLib")

#ifdef _DEBUG
#define new DEBUG_NEW
#undef THIS_FILE
static char THIS_FILE[] = __FILE__;
#endif

/////////////////////////////////////////////////////////////////////////////
// CAboutDlg dialog used for App About

class CAboutDlg : public CDialog
{
public:
    CAboutDlg();

// Dialog Data
    //{{AFX_DATA(CAboutDlg)
    enum { IDD = IDD_ABOUTBOX };
    //}}AFX_DATA

    // ClassWizard generated virtual function overrides
    //{{AFX_VIRTUAL(CAboutDlg)
    protected:
    virtual void DoDataExchange(CDataExchange* pDX);    // DDX/DDV support
    //}}AFX_VIRTUAL

// Implementation
protected:
    //{{AFX_MSG(CAboutDlg)
    //}}AFX_MSG
    DECLARE_MESSAGE_MAP()
};

CAboutDlg::CAboutDlg() : CDialog(CAboutDlg::IDD)
{
    //{{AFX_DATA_INIT(CAboutDlg)
    //}}AFX_DATA_INIT
}

void CAboutDlg::DoDataExchange(CDataExchange* pDX)
{
    CDialog::DoDataExchange(pDX);
    //{{AFX_DATA_MAP(CAboutDlg)
    //}}AFX_DATA_MAP
}

BEGIN_MESSAGE_MAP(CAboutDlg, CDialog)
    //{{AFX_MSG_MAP(CAboutDlg)
        // No message handlers
    //}}AFX_MSG_MAP
END_MESSAGE_MAP()

/////////////////////////////////////////////////////////////////////////////
// CKeyHookAppDlg dialog

CKeyHookAppDlg::CKeyHookAppDlg(CWnd* pParent /*=NULL*/)
    : CDialog(CKeyHookAppDlg::IDD, pParent)
{
    //{{AFX_DATA_INIT(CKeyHookAppDlg)
        // NOTE: the ClassWizard will add member initialization here
    //}}AFX_DATA_INIT
    // Note that LoadIcon does not require a subsequent DestroyIcon in Win32
    m_hIcon = AfxGetApp()->LoadIcon(IDR_MAINFRAME);
}

void CKeyHookAppDlg::DoDataExchange(CDataExchange* pDX)
{
    CDialog::DoDataExchange(pDX);
    //{{AFX_DATA_MAP(CKeyHookAppDlg)
        // NOTE: the ClassWizard will add DDX and DDV calls here
    //}}AFX_DATA_MAP
}

BEGIN_MESSAGE_MAP(CKeyHookAppDlg, CDialog)
    //{{AFX_MSG_MAP(CKeyHookAppDlg)
    ON_WM_SYSCOMMAND()
    ON_WM_PAINT()
    ON_WM_QUERYDRAGICON()
    ON_MESSAGE(HM_KEY,OnHookKey)
    //}}AFX_MSG_MAP
END_MESSAGE_MAP()

/////////////////////////////////////////////////////////////////////////////
// CKeyHookAppDlg message handlers

BOOL CKeyHookAppDlg::OnInitDialog()
{
    CDialog::OnInitDialog();

    // Add "About..." menu item to system menu.

    // IDM_ABOUTBOX must be in the system command range.
    ASSERT((IDM_ABOUTBOX & 0xFFF0) == IDM_ABOUTBOX);
    ASSERT(IDM_ABOUTBOX < 0xF000);

    CMenu* pSysMenu = GetSystemMenu(FALSE);
    if (pSysMenu != NULL)
    {
        CString strAboutMenu;
        strAboutMenu.LoadString(IDS_ABOUTBOX);
        if (!strAboutMenu.IsEmpty())
        {
            pSysMenu->AppendMenu(MF_SEPARATOR);
            pSysMenu->AppendMenu(MF_STRING, IDM_ABOUTBOX, strAboutMenu);
        }
    }

    // Set the icon for this dialog.  The framework does this automatically
    //  when the application's main window is not a dialog
    SetIcon(m_hIcon, TRUE);            // Set big icon
    SetIcon(m_hIcon, FALSE);        // Set small icon

    // TODO: Add extra initialization here

    // 安装钩子
    if(!SetKeyHook(TRUE,0,m_hWnd))
        MessageBox("安装钩子失败");


    return TRUE;  // return TRUE  unless you set the focus to a control
}

void CKeyHookAppDlg::OnSysCommand(UINT nID, LPARAM lParam)
{
    if ((nID & 0xFFF0) == IDM_ABOUTBOX)
    {
        CAboutDlg dlgAbout;
        dlgAbout.DoModal();
    }
    else
    {
        CDialog::OnSysCommand(nID, lParam);
    }
}

// If you add a minimize button to your dialog, you will need the code below
//  to draw the icon.  For MFC applications using the document/view model,
//  this is automatically done for you by the framework.

void CKeyHookAppDlg::OnPaint()
{
    if (IsIconic())
    {
        CPaintDC dc(this); // device context for painting

        SendMessage(WM_ICONERASEBKGND, (WPARAM) dc.GetSafeHdc(), 0);

        // Center icon in client rectangle
        int cxIcon = GetSystemMetrics(SM_CXICON);
        int cyIcon = GetSystemMetrics(SM_CYICON);
        CRect rect;
        GetClientRect(&rect);
        int x = (rect.Width() - cxIcon + 1) / 2;
        int y = (rect.Height() - cyIcon + 1) / 2;

        // Draw the icon
        dc.DrawIcon(x, y, m_hIcon);
    }
    else
    {
        CDialog::OnPaint();
    }
}

// The system calls this to obtain the cursor to display while the user drags
//  the minimized window.
HCURSOR CKeyHookAppDlg::OnQueryDragIcon()
{
    return (HCURSOR) m_hIcon;
}

void CKeyHookAppDlg::OnCancel()
{
    // TODO: Add extra cleanup here
    // 卸载钩子
    SetKeyHook(FALSE);
    CDialog::OnCancel();
}

void CKeyHookAppDlg::OnOK()
{
    // TODO: Add extra validation here
    // 卸载钩子
    SetKeyHook(FALSE);
    CDialog::OnOK();
}

// 钩子消息处理函数
long CKeyHookAppDlg::OnHookKey(WPARAM wParam,LPARAM lParam)
{
    // 此时wParam为用户按键的虚拟键码
    // lParam包含按键的重复次数，扫描码，前一个按键状态等信息
    // 取得按键名称。lParam是键盘消息的第二个参数
    char szKey[80];
    ::GetKeyNameText(lParam,szKey,80);
    CString strItem;
    strItem.Format("用户按键：%s",szKey);

    // 添加到编辑框
    CString strEdit;
    GetDlgItem(IDC_KEY)->GetWindowText(strEdit);
    GetDlgItem(IDC_KEY)->SetWindowText(strItem+strEdit);
    ::MessageBeep(MB_OK);
    return 0;
}

3。运行结果
一个对话框，检测当前键盘的状态。若有按键按下，则在对话框的EDIT控件中显示按下键的名字。

0 0