钩子是WINDOWS中消息处理机制的一个要点，通过安装各种钩子，应用程序能

够设置相应的子例程来监视系统里的消息传递以及在这些消息到达目标窗口程序之

前处理它们。钩子的种类很多，每种钩子可以截获并处理相应的消息，如键盘钩子

可以截获键盘消息，鼠标钩子可以截获鼠标消息，外壳钩子可以截获启动和关闭应

用程序的消息，日志钩子可以监视和记录输入事件。钩子分为线程专用钩子和全局

钩子，线程专用钩子只监视指定的线程，要监视系统中的所有线程，必须用到全局

钩子。对于全局钩子，钩子函数必须包含在独立的动态链接库(DLL)中，这样才能

被各种相关联的应用程序调用。

本文将讨论在.NET应用程序中全局系统钩子的使用。为此，我开发了一个可重用的类库并创建一个相应的示例程序（见下图）。

你可能注意到另外的关于使用系统钩子的文章。本文与之类似但是有重要的差别。这篇文章将讨论在.NET中使用全局系统钩子，而其它文章仅讨论本地系统钩子。这些思想是类似的，但是实现要求是不同的。

如果你对Windows系统钩子的概念不熟悉，让我作一下简短的描述：

?一个系统钩子允许你插入一个回调函数-它拦截某些Windows消息(例如，鼠标相联系的消息)。

?一个本地系统钩子是一个系统钩子-它仅在指定的消息由一个单一线程处理时被调用。

?一个全局系统钩子是一个系统钩子-它当指定的消息被任何应用程序在整个系统上所处理时被调用。

已有若干好文章来介绍系统钩子概念。在此，不是为了重新收集这些介绍性的信息，我只是简单地请读者参考下面有关系统钩子的一些背景资料文章。如果你对系统钩子概念很熟悉，那么你能够从本文中得到你能够得到的任何东西。

?关于MSDN库中的钩子知识。

本文中我们要讨论的是扩展这个信息来创建一个全局系统钩子-它能被.NET类所使用。我们将用C#和一个DLL和非托管C++来开发一个类库-它们一起将完成这个目标。

在我们深入开发这个库之前，让我们快速看一下我们的目标。在本文中，我们将开发一个类库-它安装全局系统钩子并且暴露这些由钩子处理的事件，作为我们的钩子类的一个.NET事件。为了说明这个系统钩子类的用法，我们将在一个用C#编写的Windows表单应用程序中创建一个鼠标事件钩子和一个键盘事件钩子。

这些类库能用于创建任何类型的系统钩子，其中有两个预编译的钩子-MouseHook和KeyboardHook。我们也已经包含了这些类的特定版本，分别称为MouseHookExt和KeyboardHookExt。根据这些类所设置的模型，你能容易构建系统钩子-针对Win32 API中任何15种钩子事件类型中的任何一种。另外，这个完整的类库中还有一个编译的HTML帮助文件-它把这些类归档化。请确信你看了这个帮助文件-如果你决定在你的应用程序中使用这个库的话。

MouseHook类的用法和生命周期相当简单。首先，我们创建MouseHook类的一个实例。

接下来，我们把MouseEvent事件绑定到一个类层次的方法上。

你可能想知道为什么我们需要两个库，特别是一个非托管的C++ DLL。你还可能注意到在本文的背景一节中提到的两篇参考文章，其中并没有使用任何非托管的代码。为此，我的回答是，"对!这正是我写这篇文章的原因"。当你思考系统钩子是怎样实际地实现它们的功能时，我们需要非托管的代码是十分重要的。为了使一个全局的系统钩子能够工作，Windows把你的DLL插入到每个正在运行的进程的进程空间中。既然大多数进程不是.NET进程，所以，它们不能直接执行.NET装配集。我们需要一种非托管的代码代理- Windows可以把它插入到所有将要被钩住的进程中。

首先是提供一种机制来把一个.NET代理传递到我们的C++库。这样，我们用C++语言定义下列函数(SetUserHookCallback)和函数指针(HookProc)。

SetUserHookCallback的第二个参数是钩子类型-这个函数指针将使用它。现在，我们必须用C#来定义相应的方法和代理以使用这段代码。下面是我们怎样把它映射到C#。

首先,我们使用DllImport属性导入SetUserHookCallback函数，作为我们的抽象基钩子类SystemHook的一个静态的外部的方法。为此，我们必须映射一些外部数据类型。首先，我们必须创建一个代理作为我们的函数指针。这是通过定义上面的HookProcessHandler 来实现的。我们需要一个函数，它的C++签名为(int,WPARAM,LPARAM)。在Visual Studio .NET C++编译器中，int与C#中是一样的。也就是说，在C++与C#中int就是Int32。事情并不总是这样。一些编译器把C++ int作为Int16对待。我们坚持使用Visual Studio .NET C++编译器来实现这个工程，因此，我们不必担心编译器差别所带来的另外的定义。

接下来，我们需要用C#传递WPARAM和LPARAM值。这些确实是指针，它们分别指向C++的UINT和LONG值。用C#来说，它们是指向uint和int的指针。如果你还不确定什么是WPARAM，你可以通过在C++代码中单击右键来查询它，并且选择"Go to definition"。这将会引导你到在中有意义的鼠标事件数据。这样可以使得类的消费者免于担心解释这些数据结构。这个类使用导入的 GetMousePosition函数-我们在C++ DLL中定义的用来转换这些值。为此，请看下面几段的讨论。

在这个方法中，我们检查是否有人在听这一个事件。如果没有，不必继续处理这一事件。然后，我们把WPARAM转换成一个MouseEvents枚举类型。我们已小心地构造了MouseEvents枚举来准确匹配它们在C ++中相应的常数。这允许我们简单地把指针的值转换成枚举类型。但是要注意，这种转换即使在WPARAM的值不匹配一个枚举值的情况下也会成功。 mEvent的值将仅是未定义的（不是null，只是不在枚举值范围之内）。为此，请详细分析puterBasedTraining

转换成标准帮助XML。最后，我们已使用NDoc来把它转换成编译的HTML帮助(CHM)。你可以看这个帮助文件，只需简单地在该方案的解决方案资源管理器中点击怎样使用编译的XML文件(pre-NDoc output)来为参考库的工程增强智能感知，那么让我简单地介绍一下。如果你决定在你的应用程序中使用这个类库，你可以考虑复制该库的一个稳定构建版本到你想参考它的位置。同时，还要把XML文档文件 (SystemHooks/ManagedHooks/bin/Debug/将自动地读该文件并使用它来添加智能感知文档。这是很有用的，特别是对于象这样的第三方库。

?单元测试：我相信，所有的库都应有与之相应的单元测试。既然我是一家公司（主要负责针对.NET环境软件的单元测试）的合伙人和软件工程师，任何人不会对此感到惊讶。因而，你将会在名为ManagedHooksTests的解决方案中找到一个单元测试工程。为了运行该单元测试，你需要下载和安装 HarnessIt-这个下载是我们的商业单元测试软件的一个自由的试用版本。在该单元测试中，我对这给予了特殊的注意-在此处，方法的无效参数可能导致 C++内存异常的发生。尽管这个库是相当简单的，但该单元测试确实能够帮助我在一些更为微妙的情况下发现一些错误。

?非托管的/托管的调试：有关混合解决方案（例如，本文的托管的和非托管的代码）最为技巧的地方之一是调试问题。如果你想单步调试该C++代码或在C++代码中设置断点，你必须启动非托管的调试。这是一个Visual 。然后，你就可以在此虚拟的环境中开发你的应用程序。用这种方式，当你的钩子应用程序出现错误时，它们将仅退出你的操作系统的虚拟实例而不是你的真正的操作系统。我已经不得不重启动我的真正的OS-在这个虚拟OS由于一个钩子错误崩溃时，但是这并不经常。 

用DELPHI编制钩子函数

Windows消息管理机构提供了能使应用程序访问控制消息流

所谓的钩子(HOOK)机制。钩子有多种，分别用于捕获某一特定类型或某一范围的消息。如：键盘消息，鼠标消息等。

我们这里仅以键盘钩子的使用为例，讨论在DELPHI下怎样编写DLL程序和怎样在自己的程序中安装使用键盘钩子函数，

并讨论了不同程序使用同一DLL文件时怎样共享数据。

一、 钩子过滤函数的编写说明

由于钩子过滤函数必须在独立的模块中，也就是说我们必须首先生成一个DLL框架，然后再在其中加入钩子函数代码

以及其他相关函数代码。我们这里以键盘钩子过滤函数的编写为例来说明。具体步骤如下：

1、先生成一个DLL框架

2、编写自己的键盘钩子过滤函数

钩子过滤函数必须是回调函数，其函数的声明为：

在生成的DLL框架中加入自己的键盘钩子处理函数处理键盘消息。

// 在这里加入自己的代码

3、 安装键盘钩子过滤函数

已经废弃不用）。该函数的原形如下：

// 钩子过滤函数地址

需要说明的是：通常应该调用MakeProcInstance函数以获取一个输出函数的前导码的入口地址，再将此地址作为

可以省去，而直接将钩子过滤函数名用作入口地址。

系统就要调用钩子过滤函数KeyHookProc处理键盘消息。

4、 卸载钩子过滤函数。

当钩子函数不再需要时，应调用UnHookWindowsHookProc卸载安装的钩子以释放系统资源。

// 设置钩子过滤函数

//取得键盘缓冲区中击键的个数

//取得键盘缓冲区的键

//DLL的退出处理过程

// 通过建立内存映象文件以共享内存

二、 在自己的程序中使用编制好的键盘钩子过滤函数。

钩子函数编制好后，使用起来其实很简单：首先调用SetWindowsHookEx安装自己的钩子过滤函数，

同时保存原先的钩子过滤函数地址。这时钩子函数就开始起作用了，它将按照你的要求处理键盘消息。

程序运行完毕或不再需要监视键盘消息时，调用UnHookWindowsHookProc函数卸载所安装的钩子函数，

同时恢复原来的钩子过滤函数地址。

下面就是使用在以上编制的钩子函数的例子：

在上面的钩子函数所在的DLL文件中，需要使用共享内存，即，所有击键的记录存储在同一个数据段中。

为什么要这样做呢？这是因为Windows95的DLL调用方法与Windows3.X的方法不同。每个进（线）程在登

录某动态连接库时都会为该动态连接库传入一个新的实例句柄（即DLL数据段的句柄）。这使得DLL各个

实例之间互不干扰，但是这对那些所有DLL实例共享一组变量带来一些困难。为了解决这个问题，我们

MapViewOfFile三个函数来实现。使用方法如下：

到此为止，你已经知道用Delphi编制钩子函数有多么容易。最后不得不提醒大家：钩子函数虽然功能比较强，

但如果使用不当将会严重影响系统的效率，所以要尽量避免使用系统钩子。非要使用不可时也应该格外小心，

应使之尽可能小地影响系统的运行。

建立键盘鼠标动作记录与回放

内容:很多的教学软件或系统监视软件可以自动记录回放用户的输入文字或点击按钮等操作操作，

这个功能的实现是使用了Windows的Hook函数。

参数lpfn指定消息函数，在相应的消息产生后，系统会调用该函数并将消息值传递给该函数供处理。函数的一般形式为：

其中code为系统指示标记，wParam和lParam为附加参数，根据不同的消息监视类型而不同。只要在程序中建立这样

一个函数再通过SetwindowsHookEx函数将它加入到消息监视链中就可以处理消息了。

在不需要监视系统消息时需要调用提供UnHookWindowsHookEx来解除对消息的监视。

所以在程序中我们需要建立两个消息函数，一个用于纪录鼠标键盘操作并保存到一个数组中，另一个用于将保存的操作返给系统回放。

下面来建立程序，在Delphi中建立一个工程，在Form1上添加3个按钮用于程序操作。另外再添加一个按钮控件和一个Edit控件用于验证操作。

下面是Form1的全部代码

//建立键盘鼠标操作消息纪录链

//建立键盘鼠标操作消息纪录回放链

代码添加完毕后，运行程序，点击“纪录”按钮开始纪录操作，这时你可以在文本控件中输入一些文字或者点击

“范例”按钮，然后点击“停止”按钮停止纪录，再点击“回放”按钮就可以讲先前所做的操作回放。

在上面的程序中，HookProc是纪录操作的消息函数，每当有鼠标键盘消息发生时，系统都会调用该函数，

消息信息就保存在地址lParam中，我们可以讲消息保存在一个数组中。PlayProc是消息回放函数，当系统可以

执行消息回放时调用该函数，程序就将先前纪录的消息值返回到lParam指向的区域中，系统就会执行该消息，

以下例程可以实现禁止用户用ALT+TAB或ALT+ESCAPE键切换程序,并且可以屏蔽左右windows键：

{按键消息的结构，Delphi中也没有，自己定义吧。这也就我为什么说用C写

这样的程序更好的原因之一。还必须注意的是这个结构在Windows NT 4 sp3以上系统

{一些扩展标志，这个值比较麻烦，MSDN上说得也不太明白，但是

根据这个程序，这个标志值的第六位数（二进制）为1时ALT键按下为0相反。}

//这个是低级键盘钩子的索引值，Delphi中没有，必须自己定义

//定义一个常量好和上面哪个结构中的flags比较而得出ALT键是否按下

功能：低级键盘钩子的回调函数，在里面过滤消息

返回值:如果不是0的话windows就把这个消息丢掉，程序就不会再收到这个消息了。

//在Form关闭的时候检测，如果没有卸载钩子就卸载之

钩子实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这时钩子函数即可以加工处理（改变）该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。对每种类型的钩子由系统来维护一个钩子链，最近安装的钩子放在链的开始，而最先安装的钩子放在最后，也就是后加入的先获得控制权。要实现Win32的系统钩子，必须调用SDK中的API函数SetWindowsHookEx来安装这个钩子函数，这个函数的原型是HHOOK   dwThreadId);，其中，第一个参数是钩子的类型；第二个参数是钩子函数的地址；第三个参数是包含钩子函数的模块句柄；第四个参数指定监视的线程。如果指定确定的线程，即为线程专用钩子；如果指定为空，即为全局钩子。其中，全局钩子函数必须包含在DLL（动态链接库）中，而线程专用钩子还可以包含在可执行文件中。得到控制权的钩子函数在完成对消息的处理后，如果想要该消息继续传递，那么它必须调用另外一个SDK中的API函数CallNextHookEx来传递它。钩子函数也可以通过直接返回TRUE来丢弃该消息，并阻止该消息的传递。

回调函数（callback Function），顾名思义，用于回调的函数。  回调函数只是一个功能片段，由用户按照回调函数调用约定来实现的一个函数。回调函数是一个工作流的一部分，由工作流来决定函数的调用（回调）时机。回调函数包含下面几个特性： 

 2. 回调机制：回调机制是一种常见的设计模型，他把工作流内的某个功能，按照约定的接口暴露给外部使用者，为外部使用者提供数据，或要求外部使用者提供数据。

软件模块之间总是存在着一定的接口，从调用方式上，可以把他们分为三类：同步调用、回调和异步调用。

 同步调用：一种阻塞式调用，调用方要等待对方执行完毕才返回，它是一种单向调用；

 回调：一种双向调用模式，也就是说，被调用方在接口被调用时也会调用对方的接口；

异步调用：一种类似消息或事件的机制，不过它的调用方向刚好相反，接口的服务在收到某种讯息或发生某种事件时，会主动通知客户方（即调用客户方的接口）。

回调和异步调用的关系非常紧密：使用回调来实现异步消息的注册，通过异步调用来实现消息的通知。

使用回调函数实际上就是在调用某个函数（通常是API函数）时，将自己的一个函数（这个函数为回调函数）的地址作为参数传递给那个函数。而那个函数在需要的时候，利用传递的地址调用回调函数，这时你可以利用这个机会在回调函数中处理消息或完成一定的操作。至于如何定义回调函数，跟具体使用的API函数有关，一般在帮助中有说明回调函数的参数和返回值等。C++中一般要求在回调函数前加CALLBACK（相当于FAR PASCAL），这主要是说明该函数的调用方式。

至于钩子函数，只是回调函数的一个特例。习惯上把与SetWindowsHookEx函数一起使用的回调函数称为钩子函数。也有人把利用VirtualQueryEx安装的函数称为钩子函数，不过这种叫法不太流行。也可以这样，更容易理解：回调函数就好像是一个中断处理函数，系统在符合你设定的条件时自动调用。为此，你需要做三件事：

3. 设置触发条件，就是在你的函数中把你的回调函数名称转化为地址作为一个参数，以便于系统调用。

声明和定义时应注意：回调函数由系统调用，所以可以认为它属于WINDOWS系统，不要把它当作你的某个类的成员函数；

回调函数是一个程序员不能显式调用的函数；通过将回调函数的地址传给调用者从而实现调用。回调函数使用是必要的，在我们想通过一个统一接口实现不同的内容，这时用回掉函数非常合适。比如，我们为几个不同的设备分别写了不同的显示函数：void TVshow(); void ComputerShow(); void NoteBookShow()...等等。这是我们想用一个统一的显示函数，我们这时就可以用回掉函数了。void show(void (*ptr)()); 使用时根据所传入的参数不同而调用不同的回调函数。

       不同的编程语言可能有不同的语法，下面举一个c语言中回调函数的例子，其中一个回调函数不带参数，另一个回调函数带参数。

以上通过将回调函数的地址传给调用者从而实现调用，但是需要注意的是带参回调函数的用法。要实现回调，必须首先定义函数指针。函数指针的定义这里稍微提一下。比如：int (*ptr)(); 这里ptr是一个函数指针，其中(*ptr)的括号不能省略，因为括号的优先级高于星号，那样就成了一个返回类型为整型的函数声明了。