如何检测鼠标光标移动是由进程而非用户触发？

精准检测模拟鼠标操作的方案 #

先直接给你明确结论：存在比检测移动速度更精准的识别方式，核心思路是通过API钩子拦截模拟鼠标操作的关键WinAPI调用，同时我们可以理清物理鼠标与模拟操作的底层链路差异，帮你彻底搞清楚两者的区别。

1. 拦截关键API实现精准检测

你提到的两种模拟鼠标的方式，最终都会落到特定的WinAPI调用上，我们可以通过钩子技术直接拦截这些函数来识别：

• 针对mouse_event函数：这是微软标记为遗留的模拟输入API（现在推荐用SendInput替代），可以用用户态API钩子库（比如Microsoft Detours）拦截它的调用。当有代码触发mouse_event时，你的钩子函数会优先执行，这时你可以记录调用的进程信息、参数细节，直接判定这是一次模拟操作。
• 针对System.Windows.Forms.Cursor.Position：设置这个.NET属性时，底层会调用WinAPI的SetCursorPos函数。所以拦截SetCursorPos就能覆盖这种场景，同样可以在钩子函数里标记操作来源。

给你一个简单的Detours钩子实现思路（伪代码）：

// 保存原始函数的指针
typedef BOOL(WINAPI* SetCursorPosFunc)(int X, int Y);
SetCursorPosFunc OriginalSetCursorPos = SetCursorPos;

// 自定义的钩子函数
BOOL WINAPI HookedSetCursorPos(int X, int Y) {
    // 在这里可以记录调用的进程ID、模块名称等信息
    // 标记这是一次模拟的鼠标位置设置操作
    return OriginalSetCursorPos(X, Y);
}

// 安装钩子的流程
DetourTransactionBegin();
DetourUpdateThread(GetCurrentThread());
DetourAttach(&(PVOID&)OriginalSetCursorPos, HookedSetCursorPos);
DetourTransactionCommit();

2. 物理鼠标与模拟操作的链路差异

• 物理鼠标移动不会触发mouse_event：物理鼠标的输入是由硬件驱动生成输入报告，通过Windows内核的输入子系统处理，最终转化为WM_MOUSEMOVE等窗口消息发送给目标窗口，整个过程完全不经过mouse_event或SetCursorPos这类用户态模拟API。
• mouse_event的调用链路：mouse_event是用户态API，它内部会调用更现代的SendInput函数，SendInput会向系统输入队列注入模拟的输入事件，之后这些事件会和物理鼠标的输入事件走相同的内核处理流程，最终发送窗口消息。但本质上，它是用户态主动注入的模拟事件，和物理硬件产生的事件来源完全不同。

局限性说明

要注意的是，用户态钩子只能拦截同权限或更低权限进程的调用。如果用户使用驱动级工具模拟鼠标操作（比如直接在内核层注入输入事件），那么用户态钩子就无法检测到了。这种场景下需要开发内核级驱动来监控输入事件的来源标识，但开发难度会高很多。

内容的提问来源于stack exchange，提问作者CanBerk