用C#实现低级Windows API键盘钩子
用C#
实现低级Windows API
键盘钩子
一提到钩子（Hook）程序，通常都会想到是用C/C++编写的，难道托管代码（如C#）就毫无用武之地了吗，本文将要讲解的，就是如何在C#中实现键盘钩子。
.NET Framework对键盘事件只提供了一般级别的访问，如KeyPress、KeyUP、KeyDown等等，但是无法用于处理按键的组合，如Alt+Tab或Win键，所以，只能绕过Framework，在操作系统级捕捉键盘事件。要达到此目的，程序需要使用Windows API函数并把自身添加到“钩子链”中，以监听来自操作系统的键盘消息。当接收到此类消息之后，就可以选择是继续传递下去，还是就此截留。另外，文中的代码只适用于基于NT的Windows系统（NT、2000、XP），且并不能屏蔽Ctrl+Alt+Delete。
实例化类
在keyboard.cs的KeyboardHook类中，已设置好键盘钩子并进行了相应的处理，这个类实现了IDisposable，因此，最简单对它进行实例化的办法，就是在程序的Main()方法中使用using关键字，这个方法包装了对Application.Run()的调用，确保程序一启动，就已经设置好钩子，而在程序退出之后，会自动卸载钩子。
类会引发一个事件，通知程序有一个键已被按下，所以程序主窗体必须能访问Main()方法中创建的KeyboradHook实例，最简单的做法就是把它作为公有成员变量。
KeyboardHook有以下构造函数，用于打开及关闭相应设置：
Ø KeyBoardHook()：拦截所有键击，且不会继续传递给Windows或其他程序。
Ø KeyboardHook(string param)：把字符串转换成参数enum其中的一个值，接着调用以下构造函数。
Ø KeyboardHook(KeyboardHook.Parameters enum)：基于参数enum的值，可以进行以下设置。
n Parameters.AllowAltTab：允许用户使用Alt+Tab切换到其他程序。
n Parameters.AllowWindowsKey：允许用户使用Ctrl+Esc或Win键访问任务栏及开始菜单。
n Parameters.AllowAltTabAndWindows：允许使用Alt+Tab、Ctrl+Esc和Win键。
n Parameters.PassAllKeysToNextApp：如果参数为true，所有的键击将会继续往下传递。
因此，最简单实例化该类的方法就是拦截所有键击：
public static KeyboardHook kh;
[STAThread]
static void Main()
{
//……
using (kh = new KeyboardHook())
{
Application.Run(new Form1());
}
处理KeyIntercepted
事件
当有键按下时，KeyboardHook类引发一个KeyIntercepted事件，其含有KeyboardHookEventArgs，这就需要由KeyboardHookEventHandler类型的方法来进行处理了，如下所示：
kh.KeyIntercepted += new KeyboardHook.KeyboardHookEventHandler(kh_KeyIntercepted);
KeyboardHookEventArgs会对当前键击返回以下信息：
Ø KeyName：键名，可由捕获的键代码转换成System.Windows.Forms.Keys获得。
Ø KeyCode：由键盘钩子返回的原始键代码。
Ø PassThrough：KeyboardHook的实例是否配置为允许键击传递给其他程序。
还可在其中调用另外的方法，执行其他任务，下面是一个简单例子：
void kh_KeyIntercepted(KeyboardHookEventArgs e)
{
if (e.PassThrough)
{
this.TopMost = false;
}
ds.Draw(e.KeyName);
}
实现低级Windows API
键盘钩子
在user32.dll文件中有三个Windows API函数可用于此目的：
Ø SetWindowsHookEx：设置键盘钩子。
Ø UnhookWindowsHookEx：取消键盘钩子。
Ø CallNextHookEx：这个函数把键击消息传递给下一下监听键盘事件的应用程序。
所以，程序的关键之处在于实现前两个函数，且屏蔽第三个函数，这就意味着任何键击都不可能超出此程序之外。
第一步，包含System.Runtime.InteropServices命名空间并导入API函数，我们就从SetWindowsHookEx开始讲解：
using System.Runtime.InteropServices
...
//Inside class:
[DllImport("user32.dll", CharSet = CharSet.Auto, SetLastError = true)]
private static extern IntPtr SetWindowsHookEx(int idHook,
LowLevelKeyboardProc lpfn, IntPtr hMod, uint dwThreadId);
第二步，调用SetWindowsHookEx设置好钩子，并传递下面4个参数：
Ø idHook：这个值决定了要设置什么类型的钩子。例如，SetWindowsHookEx也可用于挂钩鼠标事件，在这里，把它设为13，代表键盘钩子id。如果要让代码的可读性更高，可设为常量WH_KEYBOARD_LL。
Ø lpfn：一个指向处理键盘事件函数的long指针。在C#中，指针是通过传递一个代表类型的实例来实现的，其引用了相关的方法，这个方法将会在钩子每次使用时被调用。（另外，这里要注意一点，代理实现需要存储在类中的成员变量中，这可预防在第一个方法调用完毕后被垃圾回收。）
Ø hMod：用于设置钩子的应用程序的实例句柄。大多数程序中都把它设为IntPtr.Zero，事实上，它也不可能为此程序实例之外的第二个值，所以，使用了kernel32.dll中的GetModuleHandle函数来确定准确的实例值。
Ø dwThreadId：当前线程的ID。把它设为0表示钩子为全局的，这也是对于低级键盘钩子必须的值。
SetWindowsHookEx返回一个钩子ID，可用于在程序退出时注销挂钩，所以需要把它存储在一个成员变量中以备用。下面是KeyboardHook类的相关代码：
private HookHandlerDelegate proc;
private IntPtr hookID = IntPtr.Zero;
private const int WH_KEYBOARD_LL = 13;
public KeyboardHook()
{
proc = new HookHandlerDelegate(HookCallback);
using (Process curProcess = Process.GetCurrentProcess())
using (ProcessModule curModule = curProcess.MainModule)
{
hookID = SetWindowsHookEx(WH_KEYBOARD_LL, proc,
GetModuleHandle(curModule.ModuleName), 0);
}
}
处理键盘事件
前面提到，SetWindowsHookEx需要一个指向回调函数的指针，其用于处理键盘事件，这个回调函数形式如下：
LRESULT CALLBACK LowLevelKeyboardProc
(
int nCode,
WPARAM wParam,
LPARAM lParam
);
在C#中，设置一个指向函数的指针是使用代理，所以在SetWindowsHookEx中，第一步是声明一个代理：
private delegate IntPtr HookHandlerDelegate(
int nCode, IntPtr wParam, ref KBDLLHOOKSTRUCT lParam);
接下来，就可编写一个回调函数了，这个函数包含了所有真正处理键盘事件的代码，在KeyboardHook例子中，它会判断键击是否应被传给其他程序，并引发KeyIntercepted事件，下面是简化过不带键击处理的代码：
private const int WM_KEYDOWN = 0x0100;
private const int WM_SYSKEYDOWN = 0x0104;
private IntPtr HookCallback(int nCode, IntPtr wParam, ref KBDLLHOOKSTRUCT lParam)
{
//只过滤KeyDown事件中的wParam，否则代码会对每次键击执行两次，
//分别是KeyDown和KeyUp。
//WM_SYSKEYDOWN用于截取Alt键和其他键的组合。
if (nCode >= 0 &&
(wParam == (IntPtr)WM_KEYDOWN || wParam == (IntPtr)WM_SYSKEYDOWN))
{
//引发事件
OnKeyIntercepted(new KeyboardHookEventArgs(lParam.vkCode, AllowKey));
//返回一个伪值以截取键击。
return (System.IntPtr)1;
}
//事件未被处理，把它传递给下一个程序。
return CallNextHookEx(hookID, nCode, wParam, ref lParam);
}
对HookCallback的引用会被赋值给HookHandlerDelegate的一个实例，并把它传递到SetWindowsHookEx中。
另外，在有键盘事件发生时，下面的参数会传递到HookCallBack中：
Ø nCode：根据MSDN，如果CallNextHookEx的结果值小于0，回调函数应该返回这个值。正常的键盘事件将返回0或大于0的nCode。
Ø wParam：这个值表明发生了什么类型的事件：KeyDown或KeyUp，或者按下的键是否为一个系统键（左边还是右边的Alt键）。
Ø IParam：存储键击精确信息的一个结构体，如按下键的键盘码。此结构声明在KeyboardHook中：
private struct KBDLLHOOKSTRUCT
{
public int vkCode;
int scanCode;
public int flags;
int time;
int dwExtraInfo;
}
两个public参数是KeyboardHook中回调函数唯一使用到的参数，vkCode返回虚拟键盘码，其可转换为System.Windows.Forms.Keys以得到键名，而flags表明这是否为一个扩展键（如Win键），或Alt键是否同时按下。
如果不需要flags及KBDLLHOOKSTRUCT的其他成员提供的信息，那么，回调函数及代理的声明可作如下修改：
private delegate IntPtr HookHandlerDelegate(
int nCode, IntPtr wParam, IntPtr lParam);
在本例中，IParam将只返回vkCode。
传递键击给下一个程序
通常，键盘钩子回调函数都由调用CallNextHookEx并返回其结果值来结束，这确保其他程序也有机会处理键击事件。然而，KeyboardHook的关键性功能就是为了防止键击传递给其他程序，所以，只要它捕获了一个键击，HookCallback将返回一个伪值：
return (System.IntPtr)1;
另一方面，如果未处理键击事件，或从KeyboardHook重载的构造函数传递进来的参数允许特定键组合通过，它也确实调用了CallNextHookEx。
如下所示，我们导入了user32.dll中的CallNextHookEx函数：
[DllImport("user32.dll", CharSet = CharSet.Auto, SetLastError = true)]
private static extern IntPtr CallNextHookEx(IntPtr hhk, int nCode,
IntPtr wParam, ref KeyInfoStruct lParam);
导入后的函数由HookCallback方法中的以下这行调用，其确保通过钩子接收到的所有参数都会传递给下一个程序：
CallNextHookEx(hookID, nCode, wParam, ref lParam);
正如前面所提过的，如果IParam中的flags无关紧要，导入的CallNextHookEx函数符号能修改为define lParam as System.IntPtr。
注销钩子
程序的最后一步就是当KeyboardHook类实例销毁时，注销钩子，我们用了从user32.dll中导入的UnhookWindowsHookEx函数：
[DllImport("user32.dll", CharSet = CharSet.Auto, SetLastError = true)]
[return: MarshalAs(UnmanagedType.Bool)]
private static extern bool UnhookWindowsHookEx(IntPtr hhk);
因为KeyboardHook实现了IDisposable，所以也能在Dispose方法中完成。
public void Dispose()
{
UnhookWindowsHookEx(hookID);
}
hookID是构造函数中调用SetWindowsHookEx之后返回的id，这行代码把程序从系统钩子链中移除。