windows - 如何识别具有以编程方式可见和最小化的未显示窗口的 Windows 10 后台存储进程？

Question

我有一个 Win32 应用程序，它可以确定是否显示了任何可见的、非标志性的、可最小化的窗口。据我所知，它适用于 Win9x 到 Win8.1，但在 Windows 10 下，它经常会发现几个实际上在屏幕上不可见的窗口。

为了尝试确定发生了什么，我编写了一个简单的测试应用程序，它枚举和记录所有此类窗口。下面是 EnumWindows 回调代码的精髓:

BOOL CALLBACK EnumFunc( HWND hWnd, LPARAM lParam )
{
  if ( IsWindowVisible( hWnd ) )
  {
    if ( !IsIconic( hWnd ) )
    {
      const LONG style = GetWindowLong( hWnd, GWL_STYLE );

      if ( WS_MINIMIZEBOX & style )
      {
     //      record window info
      }
    }
   }
 return TRUE;
}

Windows 10 下的幻象窗口大部分属于后台存储应用进程，例如邮件、计算器和照片。这些列在任务管理器的后台进程部分下，如果我使用任务管理器结束这些后台任务，我的测试应用程序将不再找到它们的幻像窗口。

在我的测试应用程序的上面屏幕截图中，您可以看到除了 1 个违规窗口之外的所有窗口都属于同一进程 id 7768 的线程，即 ApplicationFrameHost.exe。进程 ID 为 11808 的最终窗口是 explorer.exe。

我已经使用 Spy++ 查看了幻像窗口，但看不到任何有助于唯一识别它们的特定样式组合。

我曾建议可能涉及未记录的 Windows“乐队”，但我已尝试使用(未记录，因此这可能是错误的)API:

BOOL WINAPI GetWindowBand (HWND hWnd, PDWORD pdwBand);

但它为任何窗口返回一个带 1，因此不区分这些幻象。

如何可靠地识别这些幻像窗口？

Answer 1

检测这些幻像窗口的认可方法是使用 DwmGetWindowAttribute 和 DWMWA_CLOAKED。

这是我使用的代码:

static bool IsInvisibleWin10BackgroundAppWindow( HWND hWnd )
{
    int CloakedVal;
    HRESULT hRes = DwmGetWindowAttribute( hWnd, DWMWA_CLOAKED, &CloakedVal, sizeof( CloakedVal ) );
    if ( hRes != S_OK )
    {
        CloakedVal = 0;
    }
    return CloakedVal ? true : false;
}

感谢来自 MS 的 Scot Br 发布答案 here