Windows-技术

注册表读写最多的项或键值

By wooblog
没有评论

注册表读写最多的项或键值？

在 Windows 系统中，注册表（Registry）读写频率最高的键值主要集中在以下几个区域，这些区域几乎每秒都在被系统、驱动、服务和应用程序频繁访问。以下是公认的“最热”注册表项（按读写频率排序大致从高到低）：

1. 最高频（每秒可能几百到上千次读写）

  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters 特别是 EnablePrefetcher 、 EnableSuperfetch 等（虽然现在叫 SysMain，但键还在）。
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\VolumeCaches 磁盘清理相关，Superfetch/SysMain 频繁扫描。
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 下各个服务的子键 尤其是启动类型、ImagePath 等，系统服务控制管理器（SCM）每隔几秒就会轮询一次。

2. 极高频（每秒几十到几百次）

  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist 用户助手的旋转加密计数器，几乎每次打开程序/文件都会写（加密记录执行次数和时间）。
  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Applets 老的系统小程序最近使用记录（画图、音量控制等）。
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\009 等 性能计数器字符串，每次性能监控工具刷新都会读。

3. 高频（每秒几次到几十次）

  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TimeZoneInformation 时区信息，某些进程（包括 explorer.exe）频繁读取。
  • HKEY_CURRENT_USER\Control Panel\Desktop 特别是 UserPreferencesMask 、 WheelScrollLines 等，用户滚动、DPI 变化、主题切换都会写。
  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 开机启动项，每次登录/注销都会读。
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System 组策略相关键（如 ConsentPromptBehaviorAdmin），UAC、登录时频繁读。

4. 特定场景下爆炸式写入的键（最容易导致注册表膨胀）

  • HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache 每次运行一个新版本的可执行文件就会写一条（应用名称缓存），几年下来可达几万条。
  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSavePidlMRU 打开/保存对话框的“最近使用的文件”按扩展名分类，几乎每次保存文件都写。
  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs 最近文档列表。
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceClasses 每次插拔 USB 设备都会创建新子键，几年下来非常庞大。

实测最“热”的前几名（用 Process Monitor 观察典型 Win10/11 系统空闲状态）

  1. HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters
  2. HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\…\Count （旋转加密）
  3. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\VolumeCaches
  4. HKLM\SYSTEM\CurrentControlSet\Services\SysMain
  5. HKLM\SYSTEM\CurrentControlSet\Control\TimeZoneInformation

总结

如果你想知道“哪一个键值被访问最多”，在普通用户电脑上， UserAssist 的 Count 子键 （加密的 HRZR 开头的值）几乎稳居第一，因为它记录了你打开的每一个程序/文件，频率极高。

如果是指系统级最频繁的，则是 Prefetch 相关键 和 SysMain 服务参数 。

用工具实测（推荐 Process Monitor 过滤 Reg）：

  • 过滤路径包含 UserAssist → 几秒内几百次写
  • 过滤 PrefetchParameters → 持续高频读

这些就是 Windows 注册表里真正“最忙”的地方。

另一个回答：

极高频（每秒几十到几千次读写）

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters
以及相关的 Superfetch/Prefetch 数据，主要被 svchost.exe（SysMain）疯狂读写。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Time Zone Information
时区信息，几乎所有进程启动时都会读取。
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist
UserAssist 计数器，每次运行程序、打开文件夹都会 ROT13 加密写入，频率极高（尤其是资源管理器）。
HKEY_CURRENT_USER\Control Panel\Desktop
多个值（如 WheelScrollLines、MenuShowDelay 等），每次鼠标滚轮、菜单弹出都可能读。
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
代理设置、连接设置，几乎所有联网程序启动时都读。

高频（每秒几到几百次）

HKEY_CLASSES_ROOT 下的各种 CLSID 和文件关联
（尤其是 hkcr.exe、hkcr\exefile、hkcr*\shell 等），每次双击文件、右键菜单都会大量读取。
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

和 HK和 HKLM 同路径，开机后很多程序轮询或读取。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

（如 ConsentPrompt（如 ConsentPromptBehaviorAdmin 等 UAC 相关），很多程序启动时检查。

HKEY_CURRENT_USER\Software\Microsoft\Windows\DWM
DWM（桌面窗口管理器）实时读取主题、动画设置。
HKEY_CURRENT_USER\Keyboard Layout\Preload 和 HKEY_CURRENT_USER\Control Panel\International
HKEY_CURRENT_USER\键盘布局\预加载和 HKEY_CURRENT_USER\控制面板\国际
输入法切换时频繁读写。

游戏/高负载场景下特别夸张的

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 下各个驱动的服务参数
（尤其是显卡驱动 nvidia/amd/intel，游戏运行时每帧都可能读一次特征值）
HKEY_CURRENT_USER\Software\Valve\Steam （Steam 用户）
HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache
每次打开新程序都会写一次（应用标题缓存）

实测最夸张的几个键（用 Process Monitor 观察一天的结果）

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist{…}\Count
→ 普通用户一天轻松几万到十几万次写入
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters
→ 开着 Superfetch 一天能有几百万次读取
HKCR\CLSID{…}\InProcServer32（COM 对象）
→ 每次创建 COM 对象都读，频率恐怖

总结：最“累”的几个键如果你想知道哪个键“最惨”，大概是这几个：

UserAssist 的 Count 子键（写最频繁）
PrefetchParameters（读最频繁）
HKCR 文件关联和 CLSID（综合读最频繁）
DWM 和 Desktop 设置（实时读）

如果你用 Process Monitor 过滤注册表操作，跑个半小时游戏 + 浏览器 + 资源管理器，Path 列里 90% 都是上面这些路径。想知道你自己电脑上哪个最忙？推荐工具：

Process Monitor（微软官方）过滤 Operation 是 RegQueryValue/RegSetValue
Process Monitor（微软官方）过滤作 是 RegQueryValue/RegSetValue
RegistryChangesView（NirSoft）可以统计一段时间内访问次数排行榜

一般人电脑跑一天，UserAssist 轻松前三，写个几万次很正常。

HKEY_CLASSES_ROOT中哪个项读取最频繁

在实际的Windows系统中，HKEY_CLASSES_ROOT（简称HKCR）读取最频繁的项通常是以下这几类（按访问频率从高到低排序，大致规律）：

排名 典型路径 (注意，HKEY_CLASSES_ROOT 键千万不要直接修改!！) 读取频率原因（最常见场景） 大约每天读取次数（普通用户/重度用户）
1 HKEY_CLASSES_ROOT.xxx （所有文件扩展名，如 .exe、.jpg、.pdf、.docx、.txt 等） 双击文件、拖拽文件、右键菜单“打开方式”、Explorer预览、杀毒软件扫描、文件属性查看 最高，几百～几千次
2 HKEY_CLASSES_ROOT*\shell HKEY_CLASSES_ROOT*\shellex 几乎所有文件的右键菜单（复制、粘贴、发送到、属性、压缩、git/svn菜单等） 非常高，几十～几百次
3 HKEY_CLASSES_ROOT\Directory\shell HKEY_CLASSES_ROOT\Directory\Background\shell
HKEY_CLASSES_ROOT\Directory\shell HKEY_CLASSES_ROOT\目录\背景\shell		 文件夹空白处右键、文件夹右键（新建、打开命令提示符、git bash here等） 高，几十～几百次
4 HKEY_CLASSES_ROOT\CLSID{…} COM组件创建、ActiveX控件、浏览器插件、Shell扩展、上下文菜单处理程序、预览处理程序 中～高（视系统装了多少软件）
5 HKEY_CLASSES_ROOT\AppID HKEY_CLASSES_ROOT\Interface
HKEY_CLASSES_ROOT\AppID HKEY_CLASSES_ROOT\接口		 部分现代UWP/现代应用、DCOM权限检查 中等
6 HKEY_CLASSES_ROOT\ProgID（各种如 Word.Document.16、Acrobat.Document等）
HKEY_CLASSES_ROOT\ProgID（各种如 Word.Document.16、Acrobat.Document 等）		 文件关联的“友好名称”显示、图标查找 中等

最最频繁的“冠军”总结（2024-2026年主流Windows 10/11观察）真正读取频率第一的通常是：HKEY_CLASSES_ROOT.exe
HKEY_CLASSES_ROOT.lnk
HKEY_CLASSES_ROOT.url原因：

  • 桌面、开始菜单、任务栏、资源管理器中绝大部分可执行文件和快捷方式都是 .exe / .lnk
  • 每次显示图标、每次启动程序、每次右键、每次拖拽判断、每次任务管理器刷新……几乎都会读一次

其次是用户最常碰到的几十个扩展名：
.jpg / .png / .pdf / .docx / .xlsx / .zip / .rar / .txt / .mp4 / .html 等小结一句话日常使用中，HKEY_CLASSES_ROOT里读取最频繁的项，十有八九是某个 .xxx 文件扩展名键，尤其是 .exe 和 .lnk。

powershell代码，给注册表HKEY_CLASSES_ROOT下边带 . 的子项，比如 .py，加上everyone的读取权限。HKEY_CLASSES_ROOT本身不加权限。

下面这段 PowerShell 代码可以给 HKEY_CLASSES_ROOT 下所有以 . 开头的子项（文件关联项，例如 .py、.txt、.jpg 等）添加 Everyone 的读取权限，而不会修改 HKEY_CLASSES_ROOT 本身的权限：

# 需要以管理员身份运行

$ErrorActionPreference = 'SilentlyContinue'

# 获取 HKEY_CLASSES_ROOT 下所有以 . 开头的直接子项
$dotKeys = Get-ChildItem -Path "Registry::HKEY_CLASSES_ROOT" | 
    Where-Object { $_.PSChildName -like '.*' }

$count = 0

foreach ($key in $dotKeys) {
    $keyPath = $key.PSPath
    
    try {
        # 获取当前ACL
        $acl = Get-Acl -Path $keyPath
        
        # 创建 Everyone 的读取权限规则
        $everyone = [System.Security.Principal.NTAccount]"Everyone"
        $rights = [System.Security.AccessControl.RegistryRights]"ReadKey"
        $inheritance = [System.Security.AccessControl.InheritanceFlags]"None"
        $propagation = [System.Security.AccessControl.PropagationFlags]"None"
        $controlType = [System.Security.AccessControl.AccessControlType]"Allow"
        
        $rule = New-Object System.Security.AccessControl.RegistryAccessRule(
            $everyone, $rights, $inheritance, $propagation, $controlType
        )
        
        # 检查是否已经存在相同的规则，避免重复添加
        $hasRule = $acl.Access | Where-Object {
            $_.IdentityReference -eq "Everyone" -and
            $_.RegistryRights -band [System.Security.AccessControl.RegistryRights]::ReadKey -eq [System.Security.AccessControl.RegistryRights]::ReadKey -and
            $_.AccessControlType -eq "Allow"
        }
        
        if (-not $hasRule) {
            $acl.AddAccessRule($rule)
            Set-Acl -Path $keyPath -AclObject $acl
            $count++
            Write-Host "已为 $($key.PSChildName) 添加 Everyone 读取权限"
        }
        # else { Write-Host "跳过 $($key.PSChildName) - 已存在权限" }
    }
    catch {
        Write-Warning "处理 $($key.PSChildName) 时出错: $($_.Exception.Message)"
    }
}

Write-Host "`n完成！共处理 $($dotKeys.Count) 个 .xxx 键，实际修改了 $count 个。"

重要说明

  1. 必须以管理员身份运行 PowerShell，否则 Set-Acl 会失败
  2. 这段代码只修改顶层的 .xxx 键，不会递归修改更深层的子键（如 .py\PersistentHandler）
  3. 只添加 读取权限（ReadKey），不包含写入、删除等权限
  4. 已包含幂等性检查，不会重复添加相同的 Everyone 规则

如果你想要同时包含子项的读取权限（递归），可以把最后 Set-Acl 那部分改成这样：

# 递归应用到该键及其所有子键
$acl.SetAccessRuleProtection($false, $true)   # 允许继承
$acl.AddAccessRule($rule)
Set-Acl -Path $keyPath -AclObject $acl -Recurse
右键菜单注册表现代实现解析
FlexASIO怎么设置？我想在foobar2000中使用它

Comments

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

登录

还没有账号吗？ 注册

忘记密码？

注册

重设密码

请输入您的用户名或电子邮箱地址。您会收到一封包含创建新密码链接的电子邮件。