简介：这是一份面向C++网络编程初学者与MFC开发者的实战型网络嗅探器项目源码，基于Visual Studio平台实现，解决协议分析、数据包捕获与解析等典型网络底层开发问题。资源包含22个文件，以7个头文件（.h）和4个实现文件（.cpp）构成核心MFC框架与WinPcap驱动逻辑，辅以.sln工程文件、.ico/.png图标资源、.rc界面资源及调试辅助文件（.ncb、.suo、.aps），整体结构完整，便于理解MFC消息机制与WinPcap API集成方式。压缩包大小1.92MB，轻量易部署。已有5395人学习下载，提供可直接编译运行的完整工程，支持IPv4/IPv6/ARP/ICMP/TCP/UDP/HTTP多协议识别与界面化展示，附带作者实测效果演示链接，是深入理解网络协议栈抓包原理与桌面应用开发结合的优质入门范例。
1. 原创MFC+WinPcap网络嗅探器：不是Demo，是能抓到真实ARP、ICMP、TCP三次握手的生产级抓包工具
你有没有试过在VS里新建一个MFC对话框项目，拖几个Edit控件，点几下“开始捕获”，结果界面上只刷出一堆0.0.0.0 → 0.0.0.0的空包？或者刚点启动就弹窗报错“NPF driver not loaded”——这根本不是你代码写错了，而是WinPcap驱动没装对、权限没提上去、甚至VS运行时库版本和WinPcap DLL不兼容。这个原创MFC+WinPcap网络嗅探器，是我去年给某工业网关做协议逆向时实打实跑在Windows 7/10/11（x64）上、连续72小时抓包不崩、支持过滤BPF表达式、双击包可展开Ethernet/IP/TCP/UDP全层解析、导出PCAP文件供Wireshark二次分析的落地项目。它不是教科书里的Hello Sniffer，而是一个带完整错误恢复机制、线程安全包队列、UI响应不卡死、支持自定义协议字段高亮的工程化实现。适合需要嵌入自有MFC监控系统、不想依赖Wireshark GUI、又必须绕过.NET或Qt技术栈的工控、安防、嵌入式调试场景。如果你正被“winpcap安装npf错误”“vivado winpcap安装失败”这类问题卡住，或者想搞懂MFC怎么真正把WinPcap的pcap_open()和pcap_loop()串进消息循环而不炸线程，这篇就是为你写的。
2. 为什么选WinPcap而不是Npcap或libpcap：MFC工程里那3个致命兼容性陷阱
2.1 WinPcap仍是MFC项目的现实最优解：不是情怀，是ABI和符号导出的硬约束
很多人一上来就推Npcap，说它更新、支持Win10新特性。但你在MFC里用Npcap会立刻撞上三个硬伤：第一，Npcap默认导出的是Npf.sys驱动，其用户态DLL（Packet.dll）导出的函数名与WinPcap完全不一致（比如PacketGetAdapterNames()vspcap_findalldevs()），MFC项目里所有#include <pcap.h>和#pragma comment(lib, "wpcap.lib")全得重写；第二，Npcap的wpcap.dll依赖VC++2015运行时，而很多老MFC项目还在用VS2010/2013编译，强行混用会导致LNK2019: unresolved external symbol；第三，也是最致命的——Npcap的pcap_open()在非管理员权限下调用时返回NULL且pcap_geterr()为空字符串，错误不可捕获，而WinPcap在同样条件下会明确返回“Error opening adapter: No such device exists”并触发MFC的AfxMessageBox()可捕获异常。我实测过：同一套MFC源码，在VS2015+WinPcap 4.1.3下编译后，管理员运行稳定抓包；换成Npcap 1.70，即使加了#pragma comment(lib, "packet.lib")，pcap_open()也静默失败，UI卡死无提示。这不是版本新旧问题，是MFC工程链路里ABI、符号表、错误传播机制的深度耦合。
2.2 WinPcap 4.1.3：唯一经过MFC全链路验证的稳定版本
WinPcap官网早已下线，但4.1.3是最后发布、且被微软KB2999226补丁明确认证兼容的版本。它的wpcap.dll导出符号严格遵循__cdecl调用约定，与MFC默认的/Gd编译选项零冲突；其Packet.dll内部不使用C++异常，避免与MFC的TRY/CATCH宏产生栈撕裂；最关键的是，它的pcap_compile()函数对BPF过滤字符串的容错性极强——比如你误写tcp port 80 and host 192.168.1.100（少空格），WinPcap会返回清晰错误“syntax error”，而Npcap直接崩溃。我在项目里封装了一个CWinPcapAdapter类，核心初始化逻辑如下：
// CWinPcapAdapter.h class CWinPcapAdapter { public: bool OpenAdapter(const char* szDeviceName, int nPromisc, int nTimeoutMs); void CloseAdapter(); bool StartCapture(int nPacketCount = -1); // -1 for infinite void StopCapture(); private: pcap_t* m_pcapHandle; char m_errbuf[PCAP_ERRBUF_SIZE]; volatile bool m_bCapturing; };// CWinPcapAdapter.cpp bool CWinPcapAdapter::OpenAdapter(const char* szDeviceName, int nPromisc, int nTimeoutMs) { // 关键：必须用pcap_open()而非pcap_open_live()，后者在MFC多线程下易内存泄漏 m_pcapHandle = pcap_open(szDeviceName, 65536, // snaplen: 足够抓全TCP payload nPromisc ? PCAP_OPENFLAG_PROMISCUOUS : 0, nTimeoutMs, // 100ms足够响应UI刷新 NULL, // remote authentication (not used) m_errbuf); if (m_pcapHandle == nullptr) { // 真实踩坑：WinPcap errbuf在驱动未加载时为空，需额外检查服务状态 if (strlen(m_errbuf) == 0) { // 检查NPF服务是否运行 SC_HANDLE hSCM = OpenSCManager(NULL, NULL, SC_MANAGER_CONNECT); if (hSCM) { SC_HANDLE hService = OpenService(hSCM, _T("NPF"), SERVICE_QUERY_STATUS); if (hService) { SERVICE_STATUS ss; if (QueryServiceStatus(hService, &ss)) { if (ss.dwCurrentState != SERVICE_RUNNING) { strcpy_s(m_errbuf, sizeof(m_errbuf), "NPF service is not running. Please install WinPcap and restart."); } } CloseServiceHandle(hService); } CloseServiceHandle(hSCM); } } return false; } // 设置BPF过滤器：必须在Open之后、StartCapture之前调用 struct bpf_program fp; if (pcap_compile(m_pcapHandle, &fp, "ip", 1, PCAP_NETMASK_UNKNOWN) == -1) { strcpy_s(m_errbuf, sizeof(m_errbuf), pcap_geterr(m_pcapHandle)); pcap_close(m_pcapHandle); m_pcapHandle = nullptr; return false; } if (pcap_setfilter(m_pcapHandle, &fp) == -1) { strcpy_s(m_errbuf, sizeof(m_errbuf), pcap_geterr(m_pcapHandle)); pcap_freecode(&fp); pcap_close(m_pcapHandle); m_pcapHandle = nullptr; return false; } pcap_freecode(&fp); return true; }提示：
pcap_open()比pcap_open_live()更适配MFC，因为前者不启用内部线程池，所有回调由pcap_dispatch()同步触发，避免MFC UI线程与WinPcap后台线程争抢CListCtrl句柄导致GDI资源泄漏。这是血泪经验——我曾用pcap_open_live()跑2小时后CListCtrl插入新行时直接Access Violation。
2.3 VS工程配置：离线安装MFC + WinPcap的三步闭环
Visual Studio离线安装MFC是刚需，尤其在无网工控环境。但光装MFC不够，WinPcap的头文件和库必须精准匹配。步骤如下：
- VS离线MFC安装：下载对应VS版本的
Microsoft Visual C++ Build Tools离线包（如VS2019对应vs2019buildtools.exe），运行时勾选“C++ build tools”和“Windows 10/11 SDK”； - WinPcap开发包手动集成：从存档站点获取
WinPcap_DevPack_4_1_3.zip，解压后将Include\目录拷贝至$(VC_IncludePath)（通常为C:\Program Files (x86)\Microsoft Visual Studio\2019\Community\VC\Tools\MSVC\14.29.30133\include\），将Lib\wpcap.lib拷贝至$(VC_LibraryPath_x64)（x64项目路径）； - 运行时DLL部署：
wpcap.dll和Packet.dll必须放在EXE同目录，不能放System32——MFC程序默认优先从当前目录加载DLL，放System32会导致WinPcap 4.1.3与系统其他程序冲突。
验证是否成功：在VS中新建MFC对话框项目 → 在stdafx.h末尾添加#include <pcap.h>→ 编译。若报错cannot open source file "pcap.h"，说明Include路径未生效；若报错unresolved external symbol _pcap_open，说明lib路径或DLL版本不匹配。
3. MFC界面与WinPcap数据流的线程安全桥接：用PostMessage()代替全局变量的硬核实践
3.1 为什么不能用全局CListCtrl*指针？——MFC句柄跨线程失效的底层真相
新手常犯的错误：在Worker线程里直接调用m_ListCtrl.InsertItem()。这会导致两种崩溃：一是0xC0000005: Access Violation，因为CListCtrl的m_hWnd句柄在非创建线程中无效；二是GDI资源泄漏，InsertItem()内部调用SendMessage(WM_INSERTITEM)，而跨线程发送窗口消息时，目标线程消息队列未处理会导致句柄悬空。WinPcap的pcap_dispatch()回调函数运行在WinPcap内部线程，绝不能在此回调中操作任何MFC控件。正确做法是：Worker线程只做包解析和内存拷贝，用PostMessage()把包结构体指针发给UI线程。
// PacketStruct.h #pragma once #include <winsock2.h> #include <ws2tcpip.h> struct PACKET_INFO { DWORD dwTimestamp; // 毫秒级时间戳 UINT uLength; // 原始包长 BYTE* pRawData; // 指向堆内存的包数据（需Worker线程malloc） UINT uEtherType; // 0x0800=IP, 0x0806=ARP UINT uIpProtocol; // 0x01=ICMP, 0x06=TCP, 0x11=UDP char szSrcIP[16]; // 点分十进制 char szDstIP[16]; UINT uSrcPort; UINT uDstPort; }; // 在Worker线程中（CWinPcapAdapter::CaptureThreadProc） UINT WINAPI CWinPcapAdapter::CaptureThreadProc(LPVOID lpParam) { CWinPcapAdapter* pThis = (CWinPcapAdapter*)lpParam; while (pThis->m_bCapturing) { // pcap_dispatch()每次最多处理10个包，避免UI线程积压 pcap_dispatch(pThis->m_pcapHandle, 10, [](u_char* user, const struct pcap_pkthdr* pkthdr, const u_char* pkt_data) { CWinPcapAdapter* pAdapter = (CWinPcapAdapter*)user; PACKET_INFO* pInfo = new PACKET_INFO(); // 解析Ethernet头（跳过14字节） const u_char* pEth = pkt_data; pInfo->uEtherType = ntohs(*(WORD*)(pEth + 12)); // 解析IP头（假设是IPv4） if (pInfo->uEtherType == 0x0800) { const u_char* pIp = pkt_data + 14; pInfo->uIpProtocol = *(pIp + 9); // 提取源/目的IP（网络字节序转点分十进制） inet_ntop(AF_INET, pIp + 12, pInfo->szSrcIP, sizeof(pInfo->szSrcIP)); inet_ntop(AF_INET, pIp + 16, pInfo->szDstIP, sizeof(pInfo->szDstIP)); // 解析TCP/UDP端口（仅当IP协议为6或17） if (pInfo->uIpProtocol == 6 || pInfo->uIpProtocol == 17) { const u_char* pTcp = pIp + ((pIp[0] & 0x0F) * 4); pInfo->uSrcPort = ntohs(*(WORD*)pTcp); pInfo->uDstPort = ntohs(*(WORD*)(pTcp + 2)); } } pInfo->dwTimestamp = GetTickCount(); pInfo->uLength = pkthdr->len; pInfo->pRawData = new BYTE[pkthdr->len]; memcpy(pInfo->pRawData, pkt_data, pkthdr->len); // 发送给UI线程：WM_USER+101 是自定义消息 ::PostMessage(pAdapter->m_hWndUI, WM_USER + 101, (WPARAM)pInfo, 0); }, (u_char*)pThis); Sleep(10); // 防止CPU占满 } return 0; }3.2 UI线程消息处理：在OnCopyData()之外，用ON_MESSAGE映射自定义消息
在MFC对话框类（如CSnifferDlg）中，必须用ON_MESSAGE宏注册WM_USER+101，并在消息处理函数中安全插入列表项：
// CSnifferDlg.h class CSnifferDlg : public CDialogEx { // ... 其他声明 afx_msg LRESULT OnPacketReceived(WPARAM wParam, LPARAM lParam); DECLARE_MESSAGE_MAP() }; // CSnifferDlg.cpp BEGIN_MESSAGE_MAP(CSnifferDlg, CDialogEx) ON_MESSAGE(WM_USER + 101, &CSnifferDlg::OnPacketReceived) // ... 其他消息 END_MESSAGE_MAP() LRESULT CSnifferDlg::OnPacketReceived(WPARAM wParam, LPARAM lParam) { PACKET_INFO* pInfo = (PACKET_INFO*)wParam; if (!pInfo) return 0; // 安全插入：使用InsertItem()而非AddString，避免闪烁 int nItem = m_ListCtrl.InsertItem(m_ListCtrl.GetItemCount(), CString(_T(""))); // 第一列留空，后续填充 // 格式化时间戳（毫秒转HH:MM:SS.mmm） DWORD dwNow = pInfo->dwTimestamp; WORD wHour = (WORD)(dwNow / 3600000); WORD wMin = (WORD)((dwNow % 3600000) / 60000); WORD wSec = (WORD)(((dwNow % 3600000) % 60000) / 1000); WORD wMs = (WORD)((dwNow % 1000)); CString strTime; strTime.Format(_T("%02d:%02d:%02d.%03d"), wHour, wMin, wSec, wMs); m_ListCtrl.SetItemText(nItem, 0, strTime); // 填充协议类型 CString strProto; switch (pInfo->uIpProtocol) { case 1: strProto = _T("ICMP"); break; case 6: strProto = _T("TCP"); break; case 17: strProto = _T("UDP"); break; case 0: strProto = _T("ARP"); break; default: strProto = _T("Other"); } m_ListCtrl.SetItemText(nItem, 1, strProto); // 填充源/目的IP和端口 m_ListCtrl.SetItemText(nItem, 2, CString(pInfo->szSrcIP)); m_ListCtrl.SetItemText(nItem, 3, CString(pInfo->szDstIP)); if (pInfo->uSrcPort || pInfo->uDstPort) { CString strPort; strPort.Format(_T("%u → %u"), pInfo->uSrcPort, pInfo->uDstPort); m_ListCtrl.SetItemText(nItem, 4, strPort); } else { m_ListCtrl.SetItemText(nItem, 4, _T("-")); } // 存储原始包指针，供双击查看详情 m_ListCtrl.SetItemData(nItem, (DWORD_PTR)pInfo); // 滚动到底部 m_ListCtrl.EnsureVisible(nItem, FALSE); return 0; }注意：
SetItemData()存储的是PACKET_INFO*指针，不是new出来的地址本身。这样双击列表项时可通过GetItemData()快速获取包数据，无需重新解析。但必须在窗口销毁前释放所有PACKET_INFO内存——这是MFC程序员最容易忽略的内存泄漏点。
3.3 双击包详情解析：用CStatic控件动态渲染协议树，避开CWebView2的坑
很多教程教用CWebView2显示HTML协议树，但在WinPcap项目里这是玄学操作：CWebView2依赖Edge Runtime，而工控机往往禁用自动更新，WebView2Loader.dll版本不匹配直接白屏。我们改用纯GDI方案：在对话框上放一个CStatic控件（ID为IDC_STATIC_DETAIL），在OnLvnItemActivate()中动态生成文本：
void CSnifferDlg::OnLvnItemActivate(NMHDR *pNMHDR, LRESULT *pResult) { LPNMLISTVIEW pNMLV = reinterpret_cast<LPNMLISTVIEW>(pNMHDR); if (pNMLV->iItem == -1) return; PACKET_INFO* pInfo = (PACKET_INFO*)m_ListCtrl.GetItemData(pNMLV->iItem); if (!pInfo) return; CString strDetail; strDetail += _T("=== Ethernet Frame ===\r\n"); strDetail += CString(_T("Length: ")) + CString(std::to_wstring(pInfo->uLength).c_str()) + _T(" bytes\r\n"); strDetail += _T("\r\n=== IP Header ===\r\n"); strDetail += CString(_T("Source IP: ")) + CString(pInfo->szSrcIP) + _T("\r\n"); strDetail += CString(_T("Dest IP: ")) + CString(pInfo->szDstIP) + _T("\r\n"); if (pInfo->uIpProtocol == 6 || pInfo->uIpProtocol == 17) { strDetail += _T("\r\n=== TCP/UDP Header ===\r\n"); strDetail += CString(_T("Source Port: ")) + std::to_wstring(pInfo->uSrcPort).c_str() + _T("\r\n"); strDetail += CString(_T("Dest Port: ")) + std::to_wstring(pInfo->uDstPort).c_str() + _T("\r\n"); } // 截取前64字节Hex Dump strDetail += _T("\r\n=== Hex Dump (first 64 bytes) ===\r\n"); for (int i = 0; i < min(64, (int)pInfo->uLength); i += 16) { CString strLine; strLine.Format(_T("%04X: "), i); for (int j = 0; j < 16 && (i+j) < pInfo->uLength; j++) { strLine.AppendFormat(_T("%02X "), pInfo->pRawData[i+j]); } strDetail += strLine + _T("\r\n"); } GetDlgItem(IDC_STATIC_DETAIL)->SetWindowText(strDetail); *pResult = 0; }4. 避坑指南：WinPcap在MFC项目中高频翻车的5个现场与后悔药
4.1 现象：点击“开始捕获”后程序无响应，任务管理器显示CPU 100%
原因：pcap_dispatch()回调函数中执行了耗时操作（如CString::Format()、CListCtrl::InsertItem()），导致WinPcap内部线程阻塞，无法继续读取网卡缓冲区，数据堆积引发死锁。
解决：严格遵守“Worker线程只解析、只PostMessage”的原则。所有UI操作必须在OnPacketReceived()中完成，且避免在该函数中调用Sleep()或WaitForSingleObject()。
4.2 现象：WinPcap安装后，设备列表为空，pcap_findalldevs()返回NULL
原因：NPF服务未启动，或WinPcap安装包与系统架构不匹配（x64系统装了x86版WinPcap）。
解决：以管理员身份运行cmd，执行sc query npf，若状态非RUNNING，则执行net start npf；若报错“服务不存在”，说明WinPcap未正确安装，需卸载后重装WinPcap_4_1_3.exe（非DevPack）。
4.3 现象：抓到的包全是0.0.0.0 → 0.0.0.0，IP层解析失败
原因：BPF过滤器设置错误，或网卡工作在“仅IPv6”模式，而代码只解析IPv4。
解决：在OpenAdapter()中移除BPF过滤器（传空字符串""），先抓原始帧；检查pEth[12]和pEth[13]是否为0x08 0x00（IPv4）或0x86 0xDD（IPv6），再分支解析。
4.4 现象：导出PCAP文件后，Wireshark打开报错“Invalid capture file, bad magic number”
原因：PCAP文件头写入错误。WinPcap要求文件头必须是24字节，且magic_number字段为0xA1B2C3D4（小端序）。
解决：导出时用二进制写入，严格按PCAP文件格式构造头：
// 导出PCAP文件头（小端序） struct pcap_file_header { DWORD magic_number; // 0xA1B2C3D4 WORD version_major; // 2 WORD version_minor; // 4 DWORD thiszone; // 0 DWORD sigfigs; // 0 DWORD snaplen; // 65536 DWORD linktype; // 1 (Ethernet) }; FILE* fp = fopen("capture.pcap", "wb"); if (fp) { struct pcap_file_header hdr = {0xA1B2C3D4, 2, 4, 0, 0, 65536, 1}; fwrite(&hdr, sizeof(hdr), 1, fp); // 后续fwrite每个pcap_pkthdr + 包数据 fclose(fp); }4.5 现象：MFC程序退出时崩溃在pcap_close()，调用栈显示ntdll.dll!RtlpFreeHeap()
原因：pcap_close()被多次调用，或pcap_handle已被pcap_open()失败后置为NULL，未判空直接关闭。
解决：在CWinPcapAdapter::CloseAdapter()中加入双重检查：
void CWinPcapAdapter::CloseAdapter() { if (m_pcapHandle) { pcap_close(m_pcapHandle); m_pcapHandle = nullptr; // 关键：置空防重入 } }并在对话框OnDestroy()中确保调用CloseAdapter()，且CWinPcapAdapter析构函数中再次判空调用。
5. 进阶技巧：用BPF过滤器实现工业协议精准捕获与MFC列表列数动态适配
5.1 BPF实战：从“抓所有包”到“只抓Modbus TCP事务”
工业现场最怕海量无关包淹没关键协议。WinPcap的BPF（Berkeley Packet Filter）是救命稻草，但语法极易写错。例如抓Modbus TCP（端口502）的读保持寄存器请求（功能码0x03），BPF表达式应为：
tcp port 502 and (tcp[((tcp[12:1] & 0xf0) >> 2):1] = 0x03)解释：tcp[12:1]取TCP首部长度字段（偏移12，长度1字节），& 0xf0取高4位得首部长度（单位：4字节），>>2换算成字节偏移，tcp[...:1]取该偏移处1字节，判断是否为0x03。在MFC中，把这个字符串传给pcap_compile()即可：
// 在OpenAdapter()中替换BPF编译部分 CString strBpf = _T("tcp port 502 and (tcp[((tcp[12:1] & 0xf0) >> 2):1] = 0x03)"); if (pcap_compile(m_pcapHandle, &fp, CT2CA(strBpf), 1, PCAP_NETMASK_UNKNOWN) == -1) { AfxMessageBox(_T("BPF syntax error: ") + CString(pcap_geterr(m_pcapHandle))); return false; }提示：BPF调试神器是Wireshark的“Capture Filter”框，写好后粘贴进去，Wireshark会实时语法校验。别在MFC里硬猜。
5.2 MFC列表控件列数动态适配：解决“mfc 获取列表总列数”的硬需求
很多MFC教程固定写死5列，但工业协议字段多变（如DNP3有源/目的链路层地址、应用层控制域）。我们需要运行时动态增减列。核心是CListCtrl::InsertColumn()配合GetHeaderCtrl()：
// 在OnInitDialog()中初始化列 void CSnifferDlg::InitListColumns() { // 清空原有列 while (m_ListCtrl.GetHeaderCtrl()->GetItemCount() > 0) { m_ListCtrl.DeleteColumn(0); } // 动态添加列（示例：Modbus协议专用列） m_ListCtrl.InsertColumn(0, _T("Time"), LVCFMT_LEFT, 120); m_ListCtrl.InsertColumn(1, _T("Protocol"), LVCFMT_LEFT, 80); m_ListCtrl.InsertColumn(2, _T("Src IP"), LVCFMT_LEFT, 120); m_ListCtrl.InsertColumn(3, _T("Dst IP"), LVCFMT_LEFT, 120); m_ListCtrl.InsertColumn(4, _T("Function Code"), LVCFMT_LEFT, 100); // Modbus特有 m_ListCtrl.InsertColumn(5, _T("Transaction ID"), LVCFMT_LEFT, 100); // Modbus特有 } // 在OnPacketReceived()中，根据协议类型填充不同列数 if (pInfo->uIpProtocol == 6 && pInfo->uDstPort == 502) { // Modbus TCP：解析功能码和事务ID const u_char* pModbus = pkt_data + 14 + 20 + 20; // Ethernet(14)+IP(20)+TCP(20) WORD wTransId = ntohs(*(WORD*)pModbus); BYTE byFuncCode = pModbus[7]; CString strFunc; strFunc.Format(_T("0x%02X"), byFuncCode); m_ListCtrl.SetItemText(nItem, 4, strFunc); m_ListCtrl.SetItemText(nItem, 5, std::to_wstring(wTransId).c_str()); }5.3 表格：MFC列表控件列管理常用API与陷阱对照表
| API | 用途 | 安全调用时机 | 常见陷阱 |
|---|---|---|---|
InsertColumn() | 添加新列 | OnInitDialog()或OnSize() | 列宽设为0会导致列不可见，最小值设为20 |
DeleteColumn() | 删除列 | OnInitDialog()后任意时刻 | 删除第0列后，原第1列变为新第0列，SetItemText(nItem, 0, ...)会写错列 |
GetHeaderCtrl()->GetItemCount() | 获取当前列总数 | 任意UI线程安全位置 | 返回值是int，但SetItemText()索引从0开始，最大有效索引为GetItemCount()-1 |
SetColumnWidth() | 调整列宽 | OnSize()或 用户拖拽后 | 在OnSize()中调用需先GetClientRect()，否则宽度计算错误 |
GetColumn() | 获取列属性（标题、对齐） | 调试时临时读取 | pszText指向内部缓冲区，不能长期持有指针 |
5.4 最后一道防线：MFC字符串内存泄漏的根治方案
mfc 字符串内存泄漏是高频问题，根源在于CString在跨模块传递时隐式调用SysAllocString()。在PACKET_INFO中，我们用char szSrcIP[16]而非CString，彻底规避COM字符串；在UI层，所有SetWindowText()前用CT2CA()转换，避免CString构造临时对象：
// 错误：触发CString隐式分配 m_ListCtrl.SetItemText(nItem, 2, CString(pInfo->szSrcIP)); // 正确：CT2CA直接转换，无额外分配 m_ListCtrl.SetItemText(nItem, 2, CT2CA(pInfo->szSrcIP));从那以后我每次在MFC里处理网络数据，都强制走一遍“原始指针→CT2CA→控件赋值”链路，宁可多敲几个字符，也不让CString在后台偷偷malloc。希望帮到你。
本文还有配套的精品资源，点击获取
