ProcessNetMonitor v1.11.0 — 纯数字进程名根治 + 签名分类

本版内容

纯数字进程名 <pid> 根治（本轮核心）：短命进程（启动→产生流量→退出）此前永远显示 <11124> 这类占位名。根因是 ETW ProcessStart 事件解析完全错误——Win11 25H2 上进程事件的 ProviderId 是 3D6FA8D0（MSNT_SystemTrace）而非旧版 9E814AAD，实时创建事件 opcode=1、会话回放 opcode=3，V4 布局（PID@8 / SID@52 / ImageFileName ANSI）。已按真实布局重写并双重验证：进程启动瞬间缓存文件名，进程退出后名字依然保留，不再退化成纯数字
图标回归：ProcessStart 缓存短路路径解析导致详情窗口图标变白色默认图标，已补全 exe 完整路径（进程启动时锁外 OpenProcess）
带引号命令行路径截断："C:\Program Files\..." 之前只取到第一个空格（exe_path 变成 C:\Program），影响图标与签名验证
闪退 0xc0000409 failfast（test1）：日志缓冲区 wcscat_s 溢出，进程多时崩溃
二级菜单误唤醒悬浮窗（test2）：鼠标移到 TM 设置菜单二级子菜单时悬浮窗不再误弹出
崩溃日志先写后转储（test2）：failfast 期间 dbghelp 二次崩溃导致 crash.log 丢失，先写原始异常信息再转储
设置对话框 UI（test2）：改用系统 UI 字体，文字缩短、窗口加高

签名分类（程序类别列）：按 Authenticode 签名离线判定——系统进程（微软内嵌签名）/ 第三方程序（其他有效签名）/ 未签名（无签名或签名无效，值得关注）。覆盖目录签名：无内嵌签名的系统文件（winlogon/dwm/notepad/cmd 等）通过 catroot 目录（.cat）验证
- 全程离线：WTD_CACHE_ONLY_URL_RETRIEVAL，不访问网络、不做吊销检查
- 性能：后台线程验证 + 按路径缓存，界面不卡顿；验证完成自动刷新分类
- 内核伪进程（System/Registry/Idle）无 exe 路径，按名称归为系统进程
调试日志开关（test1/test2）：插件设置对话框新增「调试日志」复选框（默认关），与详情窗口右键菜单双向同步；日志写入 plugins\ProcessNetMonitor\debug\
<pid> 显示优化：无法解析的进程名用灰色显示，程序类别显示「未知」而非「第三方程序」

文件	说明
`ProcessNetMonitor.dll`	x64（64 位 TrafficMonitor 使用）
`ProcessNetMonitor_x86.dll`	x86（32 位 TrafficMonitor 使用）

选择与你的 TrafficMonitor 主程序位数一致的 DLL，放入 TM 的 plugins/ 目录（或插件管理界面安装）。

TUN 代理模式下，走代理的应用流量归属代理进程（如 mihomo），应用侧 TUN 重复流量不显示（与 AppNetworkCounter 一致）
代理进程与应用之间的虚拟转发流量（TUN 用户态）无法通过内核 ETW 观测，不显示
与 AppNetworkCounter 等 ETW 工具共用时：先启动的一方占用 NT Kernel Logger；后启动的 TM 进入附加模式（悬浮窗有黄色警告提示）
ETW 占用者检测为尽力而为（Windows 无官方 API，普通权限下为已知工具名单识别）
历史流量如有旧版本残留的虚高数据，请在详情窗口点击「清除历史」重置
调试日志：默认关闭；需要诊断时在插件设置（或详情窗口行右键）开启，日志位于 plugins\ProcessNetMonitor\debug\；闪退时请反馈该目录下 crash.log 与 werdumps\ 中的转储文件