Windows下高效枚举指定进程所有子进程及孙进程的方法

一、现有方案的性能瓶颈 #

你当前的全量快照+递归遍历方案，每次查询都要扫描整个进程列表匹配父PID，时间复杂度为O(n²)——进程数量越多、查询越频繁，CPU占用越高，这是核心问题。

二、更优的初始进程树构建方案 #

1. 预构建父PID到子PID的映射表 #

一次性通过CreateToolhelp32Snapshot获取所有进程后，先构建一个哈希映射表，把父PID和对应的直接子进程列表关联起来。后续查询指定进程的递归子进程时，只需基于映射表做深度/广度遍历，无需反复扫描全量进程数据，时间复杂度降至O(n)（构建映射）+ O(k)（k为目标进程的子孙总数）。

示例代码：

#include <unordered_map>
#include <vector>
#include <tlhelp32.h>

std::unordered_map<DWORD, std::vector<DWORD>> g_parentToChildrenMap;

void BuildProcessMap() {
    g_parentToChildrenMap.clear();
    HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
    if (hSnapshot == INVALID_HANDLE_VALUE) return;

    PROCESSENTRY32 pe32{sizeof(PROCESSENTRY32)};
    if (Process32First(hSnapshot, &pe32)) {
        do {
            g_parentToChildrenMap[pe32.th32ParentProcessID].push_back(pe32.th32ProcessID);
        } while (Process32Next(hSnapshot, &pe32));
    }
    CloseHandle(hSnapshot);
}

// 获取指定PID的所有递归子进程
void GetAllDescendants(DWORD targetPid, std::vector<DWORD>& outDescendants) {
    auto it = g_parentToChildrenMap.find(targetPid);
    if (it == g_parentToChildrenMap.end()) return;

    for (DWORD childPid : it->second) {
        outDescendants.push_back(childPid);
        GetAllDescendants(childPid, outDescendants);
    }
}

2. 低开销的替代枚举API #

如果进程数量极大，可改用EnumProcesses配合OpenProcess+NtQueryInformationProcess获取父PID（需动态调用ntdll.dll的NtQueryInformationProcess），相比Toolhelp快照，能减少部分枚举开销，但实现复杂度略高。

三、类似任务管理器的低CPU维护方案 #

你的猜测完全正确，任务管理器采用初始构建完整进程树+监听进程生命周期事件的模式，避免反复全量扫描：

1. 监听进程创建/删除事件 #

用户态下可通过两种方式实现：

• 使用SetWinEventHook监听EVENT_OBJECT_CREATE和EVENT_OBJECT_DESTROY事件，关联进程对象的创建与销毁；
• 利用WMI订阅Win32_ProcessStartTrace和Win32_ProcessStopTrace事件，能直接获取进程创建/删除的详细信息。

2. 增量更新进程树 #

• 当监听到进程创建时，获取新进程的父PID，直接将其PID插入到映射表中对应父PID的子列表；
• 当监听到进程删除时，从父PID的子列表中移除该PID，同时递归清理其所有子孙进程的关联（若需维护完整树结构）。
  这种增量更新方式无需全量扫描，CPU开销极低。

四、额外优化点 #

• 缓存查询结果：若多次查询同一进程的子孙，可缓存结果，直到进程树有更新时再重新计算；
• 定时轻量同步：如果实时性要求不高，可每隔5-10秒重新构建一次映射表，平衡性能与实时性。

内容的提问来源于stack exchange，提问作者sz ppeter