C++如何读取预读取文件 (.pf)-C++-PHP中文网

不能直接解析windows预读取文件（.pf），因其为未公开、已弃用的私有二进制格式，受权限限制且无官方api；应改用wmi、etw或psapi等官方支持接口获取启动行为数据。

c++如何读取预读取文件 (.pf)

Windows预读取文件（.pf）不是普通可读文件

直接用 fopen、std::ifstream 或 CreateFile 打开 .pf 文件会失败，或读出乱码——因为它是 Windows 内部二进制格式，未公开文档，且从 Windows Vista 起已弃用。它不面向开发者设计，也没有官方 API 供 C++ 程序解析。

.pf 文件的结构和权限限制

Windows 将 .pf 文件存放在 C:\Windows\Prefetch\ 下，所有文件默认只有 SYSTEM 和 Administrators 可读；普通用户进程即使路径正确，调用 CreateFile 也会返回 ERROR_ACCESS_DENIED。即使提权成功，其内容是压缩、加密（部分字段）、带校验和的私有结构，微软从未发布解析规范。

没有公开的头定义或结构体（如 PREFETCH_HEADER 仅见于逆向分析，版本间不兼容）
Windows 10/11 默认禁用预读取，很多机器根本不存在 .pf 文件
试图用 memcpy 解析原始字节极易崩溃或误判——字段偏移随系统版本、架构（x86/x64）、SP 补丁变化

替代方案：用 WMI 或 ETW 获取等效信息

如果你实际想监控“哪些程序被频繁加载”“启动耗时分布”或“磁盘 I/O 模式”，应放弃 .pf，改用 Windows 官方支持的接口：

通过 WMI 查询 Win32_PerfFormattedData_PerfOS_System 或 Win32_Process 获取进程启动时间与页错误统计
用 ETW（Event Tracing for Windows）监听 Microsoft-Windows-Kernel-Process 提供的 ProcessCreate 事件，实时捕获进程拉起行为
调用 QueryFullProcessImageName + GetProcessTimes 组合估算冷启动开销，比解析 .pf 更可靠

示例片段（需管理员权限 + WMI 引用）：

C++ Code Review Master

组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。

下载

IWbemServices* pSvc = nullptr;
// ... 初始化 WMI 后执行查询
hres = pSvc->ExecQuery(bstr_t("WQL"), bstr_t("SELECT Name, CreationDate FROM Win32_Process WHERE Name='chrome.exe'"),
    WBEM_FLAG_FORWARD_ONLY | WBEM_FLAG_RETURN_IMMEDIATELY, nullptr, &pEnumerator);