简介：这是一份面向易语言初学者与Windows API编程爱好者的技术研究源码，围绕窗口枚举、键盘状态监听与前台窗口文本获取等知识点展开，可用于理解桌面程序如何调用系统接口实现窗口信息采集，适合作为安全方向的学习案例或API调用练习素材。压缩包共4个文件，包含1个易语言源码文件、1个htm说明页、1个txt文本及1个url快捷方式，整体约5KB，体积轻便，便于快速解压查看与对照阅读。源码中涉及GetClassNameA、IsWindow、FindWindowExA、GetAsyncKeyState、GetForegroundWindow、GetWindowTextA等DLL命令，并包含窗口程序集、时钟周期事件与启动窗口创建完毕等结构，可帮助读者梳理事件驱动与API配合的调用逻辑。目前已有1169人学习下载，适合希望了解易语言与系统API交互方式、积累窗口操作与消息处理经验的读者参考。
1. 从一份易语言源码看键盘钩子与窗口枚举的真实用法
前阵子整理旧资料，翻到一个名为“偷QQ密码”的易语言源码包，文件名是16220200118200530.zip，里面包含偷QQ密码.e、易采源码下载.url和说明文件。很多刚接触易语言的朋友看到“偷密码”三个字就兴奋，以为是什么黑科技，实际上拆开看，它用的全是 Windows API 里最基础的几个函数：GetClassNameA、IsWindow、FindWindowExA、GetAsyncKeyState、GetForegroundWindow、GetWindowTextA。这套东西在十多年前的易语言圈子里很常见，本质就是一个键盘状态轮询加窗口标题匹配的演示程序。它解决的不是“怎么盗号”，而是“怎么在易语言里调用系统底层接口做窗口监控和按键记录”。适合谁看？适合想搞明白易语言怎么调 DLL、怎么用时钟周期做后台轮询、怎么通过窗口类名和标题定位目标窗口的开发者。如果你正在找易语言反编译、eathook 或者窗口消息相关的资料，这份源码可以当个反面教材式的参考——结构简单，但坑不少。
2. 拆解源码结构：窗口程序集、DLL 命令与时钟逻辑
2.1 窗口程序集与启动流程
易语言源码的组织方式和主流语言不太一样，它把界面和逻辑揉在“窗口程序集”里。这份源码的入口是__启动窗口_创建完毕，也就是窗口初始化完成后触发的第一个事件。在这个事件里，作者通常会做一些准备工作，比如设置时钟周期、初始化变量、隐藏窗口或者注册热键。紧接着是_时钟1_周期事件，这是整个程序的核心循环——时钟每隔一段时间触发一次，在事件里执行窗口查找和按键状态读取。
为什么用时钟而不是线程？因为易语言的时钟组件最简单，拖一个到窗口上，设置周期为 100 毫秒或 200 毫秒，就能跑起来。但这也是坑：时钟周期太短会吃 CPU，太长会漏按键。常见做法是设 50 到 100 毫秒，但GetAsyncKeyState本身是瞬时状态查询，如果目标按键按下和释放发生在两次时钟触发之间，就会漏掉。所以这份源码的实用性其实很有限，它更多是演示 API 调用方式，而不是一个可靠的记录工具。
2.2 调用的 DLL 命令逐个说明
源码摘要里列出的几个 API 全部来自user32.dll，易语言里通过“DLL 命令”来声明。下面用表格把每个函数的用途、参数和返回值说清楚，方便你对照源码里的声明。
| 函数名 | 用途 | 关键参数 | 返回值 |
|---|---|---|---|
GetForegroundWindow | 获取当前前台窗口句柄 | 无 | 窗口句柄 |
GetClassNameA | 获取窗口类名 | 窗口句柄、缓冲区、缓冲区长度 | 实际写入长度 |
GetWindowTextA | 获取窗口标题 | 窗口句柄、缓冲区、缓冲区长度 | 实际写入长度 |
FindWindowExA | 查找子窗口或同级窗口 | 父窗口句柄、子窗口句柄、类名、标题 | 找到的窗口句柄 |
IsWindow | 判断句柄是否有效 | 窗口句柄 | 非零表示有效 |
GetAsyncKeyState | 获取按键状态 | 虚拟键码 | 高位表示按下 |
在易语言里声明这些命令时，要注意参数类型。比如GetClassNameA的第二个参数是文本型，但实际传的是缓冲区指针，易语言会自动转换。如果声明成整数型，就会出错。常见写法是：
.DLL命令 GetClassNameA, 整数型, "user32.dll", "GetClassNameA" .参数 窗口句柄, 整数型 .参数 类名缓冲区, 文本型, 传址 .参数 缓冲区长度, 整数型这段声明里传址是关键，不加的话拿到的是空文本。很多新手在这里翻车，现象是类名永远为空，原因就是没传址。
2.3 时钟周期事件里的轮询逻辑
_时钟1_周期事件里通常做三件事：拿前台窗口句柄、取窗口标题、遍历按键码查状态。伪代码逻辑如下：
.子程序 _时钟1_周期事件 .局部变量 前台句柄, 整数型 .局部变量 窗口标题, 文本型 .局部变量 按键码, 整数型 前台句柄 = GetForegroundWindow () .如果真 (IsWindow (前台句柄) ≠ 0) 窗口标题 = 取窗口标题 (前台句柄) .如果真 (寻找文本 (窗口标题, "QQ", , 假) ≠ -1) .变量循环首 (按键码, 8, 255, 1) .如果真 (GetAsyncKeyState (按键码) ≠ 0) ' 记录按键码 .如果真结束 .变量循环尾 () .如果真结束 .如果真结束这段逻辑的问题很明显：它只在前台窗口标题包含“QQ”时才记录，而且GetAsyncKeyState的返回值判断不严谨——高位为 1 才表示当前按下，直接判断非零会把低位的历史状态也算进去。正确做法是判断(GetAsyncKeyState(按键码) & 0x8000) ≠ 0。这个细节在源码里往往被忽略，导致记录结果里混入大量无效按键。
3. 动手复现：从零编译并观察窗口枚举效果
3.1 环境准备与源码打开
你需要一份易语言 5.11 或更高版本的 IDE，网上能找到的版本很多，但建议用 5.9 以上，因为低版本对GetAsyncKeyState的声明支持不太稳定。下载源码包后解压，得到偷QQ密码.e和几个说明文件。双击.e文件，如果关联正确会直接打开易语言 IDE。如果提示“无法找到支持库”，通常是缺少user32.dll的声明支持，但系统自带这个 DLL，所以一般不会报错。
打开后先看左侧的“程序”面板，展开“窗口程序集1”，你会看到_时钟1_周期事件和__启动窗口_创建完毕两个子程序。再点“支持库”面板，确认spec和eAPI之类的支持库已勾选。如果源码里用了“超级模块”或“精易模块”，你需要额外下载对应模块，但这份源码摘要里没提，说明它只用系统 API。
3.2 编译前的参数检查
在按 F5 运行之前，先检查三处：
第一，时钟周期。在窗口设计器里选中时钟组件，看“时钟周期”属性，常见值是 100 或 200。如果设成 10，CPU 占用会飙升；设成 1000，基本漏掉所有快速按键。建议改成 50 做测试。
第二，DLL 命令声明。点“插入”菜单下的“DLL 命令”，逐条核对参数类型。重点看GetAsyncKeyState的参数是不是“整数型”，返回值是不是“整数型”。如果返回值声明成“逻辑型”，高位判断会出错。
第三，窗口标题匹配逻辑。源码里可能写的是寻找文本 (窗口标题, "QQ", , 假)，这个“假”表示区分大小写。如果你测试时用的是其他聊天工具，把“QQ”改成对应关键词即可。
3.3 运行观察与日志输出
按 F5 运行，窗口会显示出来（如果源码里设置了_启动窗口.可视 = 假，就去掉这行）。在窗口上放一个编辑框，把每次记录的按键码追加进去，方便观察。测试时先打开记事本，敲几个键，看编辑框有没有反应——如果没有，说明前台窗口标题不匹配。再打开 QQ 或 TIM，敲键，这时应该能看到按键码输出。
但你会发现两个现象：一是按键码是数字，不是字符，需要自己查 ASCII 表；二是按住一个键不放，会连续输出同一个码，因为时钟每次触发都查一次状态。要解决重复记录，得加一个“上次按键状态”变量做边沿检测。这些在源码里都没做，所以它只是个半成品。
.局部变量 上次状态, 整数型, 静态 .局部变量 当前状态, 整数型 当前状态 = GetAsyncKeyState (按键码) .如果真 (当前状态 ≠ 0 且 上次状态 = 0) ' 记录一次 .如果真结束 上次状态 = 当前状态这段边沿检测代码是后面自己补的，原源码没有。加进去之后，按住不放只会记录一次，松开再按才会记录第二次。
4. 避坑与排查：为什么你的易语言钩子程序跑不起来
4.1 现象：编译报错“找不到 DLL 命令”
原因：DLL 命令声明时，库文件名写成了user32而不是user32.dll，或者函数名大小写不对。Windows API 是区分大小写的，GetClassNameA不能写成getclassnamea。
解决：在 DLL 命令编辑窗口里，库文件名填user32.dll，函数名从 MSDN 复制，确保大小写一致。如果还报错，检查易语言安装目录下的lib文件夹里有没有user32.fne，没有的话重装易语言或手动复制。
4.2 现象：窗口标题取出来是乱码
原因：GetWindowTextA的 A 表示 ANSI 编码，而易语言默认用 Unicode 处理文本。如果系统区域设置不是中文，或者目标窗口标题包含特殊字符，就会乱码。
解决：改用GetWindowTextW，参数类型改成“字节集”或“文本型”并传址。或者用易语言自带的“取窗口标题”命令，它内部做了编码转换。但自带命令依赖易语言支持库，跨版本可能失效。
4.3 现象：按键记录不全，快速输入漏掉
原因：时钟周期太长，或者GetAsyncKeyState判断条件写错。前面说过，必须判断& 0x8000，否则低位的历史状态会干扰。
解决：把时钟周期降到 20 到 50 毫秒，同时用位与运算判断高位。如果还漏，说明时钟事件本身有延迟，考虑用SetWindowsHookEx做全局钩子，但那是另一个话题了，易语言里实现起来更复杂。
4.4 现象：程序运行后 CPU 占用 50% 以上
原因：时钟周期设得太短，比如 1 毫秒，而且事件里做了大量文本操作。GetClassNameA和GetWindowTextA每次都要分配缓冲区，频繁调用很吃资源。
解决：把周期改成 100 毫秒以上，并且只在窗口标题变化时才做完整枚举。加一个“上次标题”变量，标题没变就跳过后续操作。
4.5 现象：杀毒软件报毒
原因：键盘状态轮询加窗口枚举的行为特征和键盘记录器高度相似，杀软会直接拦截。这不是源码有病毒，而是行为触发启发式规则。
解决：在虚拟机或沙箱里测试，不要在主系统运行。如果只是学习 API 调用，把GetAsyncKeyState换成GetKeyState并去掉循环，杀软就不会报。但GetKeyState只能查当前线程的按键，不能查全局。
5. 进阶技巧：用易语言做窗口消息监控与反编译观察
5.1 从轮询到钩子：更可靠的按键捕获
轮询的先天缺陷是漏按键，真正做窗口监控的常用做法是SetWindowsHookEx挂WH_KEYBOARD_LL低级键盘钩子。易语言里声明这个函数需要回调子程序，写法如下：
.DLL命令 SetWindowsHookExA, 整数型, "user32.dll", "SetWindowsHookExA" .参数 钩子类型, 整数型 .参数 回调地址, 子程序指针 .参数 模块句柄, 整数型 .参数 线程ID, 整数型钩子类型填 13（WH_KEYBOARD_LL），回调地址传你的子程序指针，模块句柄传 0，线程 ID 传 0 表示全局。回调子程序里判断wParam是WM_KEYDOWN还是WM_KEYUP，然后取KBDLLHOOKSTRUCT结构里的vkCode。这套方案比时钟轮询可靠得多，但易语言对回调的支持比较弱，容易崩溃，需要加异常处理。
5.2 用反编译工具观察 .e 文件结构
易语言编译后的.e文件本质是字节码，网上有反编译工具能把大部分逻辑还原成伪代码。如果你拿到一份没有源码的.e文件，想分析它的 API 调用，可以用反编译工具导出字符串和导入表。常见做法是先用十六进制编辑器看文件头，确认是不是易语言格式，再用专用工具加载。反编译出来的代码可读性一般，但能看清调用了哪些 DLL 命令和窗口组件。注意，反编译仅用于学习自己拥有合法授权的文件，不要碰来路不明的程序。
5.3 窗口枚举的合法用途：自动化测试与辅助工具
把FindWindowExA和GetWindowTextA组合起来，可以写一个窗口探测器，列出当前所有顶层窗口的句柄、类名和标题。这在自动化测试里很有用，比如你要模拟点击某个按钮，先得找到窗口句柄。下面是一个简单的枚举循环：
.局部变量 句柄, 整数型 句柄 = FindWindowExA (0, 0, 空, 空) .判断循环首 (句柄 ≠ 0) ' 取类名和标题，输出到列表 句柄 = FindWindowExA (0, 句柄, 空, 空) .判断循环尾 ()这段代码会遍历所有顶层窗口，FindWindowExA的第一个参数传 0 表示从桌面开始找，第二个参数传上一个句柄表示继续找下一个。注意，窗口句柄是动态的，程序重启后会变，所以不要硬编码。
5.4 我踩过的坑与固定检查习惯
当年第一次跑这份源码时，我直接双击.e文件，结果易语言没装，系统提示“无法打开此文件”。后来装了易语言 5.11，打开后按 F5，窗口一闪就没了——原来源码里写了_启动窗口.可视 = 假，而且没有托盘图标，程序在后台跑但看不到。我花了半小时才反应过来，去代码里把那行注释掉。从那以后，我每次拿到易语言源码，第一件事就是搜索“可视 = 假”和“时钟周期”，确认程序不会隐身、不会吃满 CPU。第二件事是检查所有 DLL 命令的参数类型，尤其是带“传址”标记的。第三件事是在虚拟机里跑，避免杀软误报影响主系统。这套习惯帮我省了很多后悔药。希望帮到你。
本文还有配套的精品资源，点击获取
