首次提交。win10ctf中文输入法卡顿排障记录

2026-09-16 20:07:01 +08:00
commit 2ae286af22
3 changed files with 592 additions and 0 deletions
@@ -0,0 +1,198 @@
+# CTF 中文输入法排障记录
+
+> **日期**：2026-07-23  
+> **系统**：Windows 10 Pro for Workstations 10.0.19045
+
+---
+
+## 问题现象
+
+1. **新版微软拼音完全无法打字** —— 切换到新版输入法后，输入无任何响应
+2. **兼容模式可以正常打字** —— 在输入法设置中启用"使用旧版微软拼音"后恢复正常
+3. **CTF 加载程序 (ctfmon.exe) CPU 占用异常偏高** —— 累积 CPU 时间达 102 秒（正常应低于 10 秒）
+
+---
+
+## 排查过程
+
+### 第一步：排除其他进程干扰
+
+最初怀疑是《战舰世界》(WorldOfWarships64) 占用 CPU 导致输入法无响应。经确认，**无论是否开启游戏，问题都存在**，排除外部进程干扰。
+
+### 第二步：检查 CTF 核心进程
+
+```
+进程             PID     CPU(秒)   内存(MB)
+────             ───     ───────   ────────
+ChsIME           10244   7.50      34.90
+ctfmon           22992   102.10    21.70    ← 异常偏高
+TextInputHost    16820   6.90      16.70
+```
+
+ctfmon CPU 时间 102 秒说明 CTF 框架内部存在死循环或反复崩溃重启。
+
+### 第三步：定位损坏源
+
+检查关键目录：
+
+| 路径 | 状态 |
+|------|------|
+| `C:\Windows\System32\InputMethod\CHS\` | ✅ 10 个核心文件，数字签名有效 |
+| `C:\Windows\IME\IMESC\` | ❌ 不存在（正常） |
+| `C:\Windows\IME\zh-CN\` | ⚠️ 空目录（异常） |
+| `%APPDATA%\Microsoft\InputMethod\Chs\` | 🔴 **65,544 个文件！** |
+
+### 第四步：精确打击
+
+用户缓存目录文件分析：
+
+```
+扩展名      数量
+──────      ────
+.tmp        65535    ← ← ← 罪魁祸首
+.dat        8        ← 用户词典等正常文件
+.bak        1        ← 词典备份
+```
+
+**65,535 个 `.tmp` 临时文件**把输入法缓存目录撑爆。正常状态下这个目录只应有不到 20 个 `.dat` 文件。
+
+---
+
+## 根因分析
+
+### 直接原因
+
+新版微软拼音（TSF/CTF 框架）启动时会扫描 `%APPDATA%\Microsoft\InputMethod\Chs\` 目录以加载用户词典、输入历史等数据。**65,535 个损坏的临时文件**导致每次扫描都陷入卡死状态（读取超时、IO 阻塞或循环重试），最终输入法框架完全失去响应。
+
+### 为什么兼容模式不受影响
+
+兼容模式使用的是旧版 IMM32（Input Method Manager 32）框架，其数据存储路径和加载机制与新版 TSF/CTF 不同，不经过该缓存目录，因此不受影响。
+
+### 为什么会产生 65535 个 tmp 文件
+
+`.tmp` 文件是输入法写入缓存时的中间产物，正常流程是：**写入 .tmp → 重命名为 .dat**。以下原因可能导致文件堆积：
+
+1. **写入过程中被中断**（强制关机、进程被杀、系统崩溃）
+2. **杀毒软件锁文件**，阻止重命名操作
+3. **磁盘满**导致写入失败，残留碎片文件
+4. **CTF 框架本身崩溃**，写入事务没有正确提交
+
+> 65,535 是一个特殊数字（2¹⁶ - 1，即 16 位无符号整数最大值），暗示文件名计数器可能已经溢出回卷。
+
+---
+
+## 解决方法
+
+### 核心操作：清空损坏缓存
+
+```powershell
+# 1. 停止输入法相关进程
+Get-Process -Name "ChsIME","ctfmon","TextInputHost" -ErrorAction SilentlyContinue `
+    | Stop-Process -Force
+
+# 2. 只删除 .tmp 临时文件（保留用户词典 .dat/.bak）
+Get-ChildItem "$env:USERPROFILE\AppData\Roaming\Microsoft\InputMethod\Chs\*.tmp" `
+    | Remove-Item -Force
+
+# 3. 进程会被 Windows 自动重启，无需手动操作
+```
+
+### 保留的用户数据
+
+| 文件 | 大小 | 用途 |
+|------|------|------|
+| `ChsPinyinUDL.dat` | 47 KB | 用户自定义词典 |
+| `ChsPinyinUDL.dat.bak` | 47 KB | 词典备份 |
+| `ChsPinyinIH.dat` | 256 KB | 输入历史 |
+| `ChsPinyinPinnedCands.dat` | 1 KB | 固定候选词 |
+| `ChsPinyinDeletedCands.dat` | 1 KB | 已删除候选词 |
+
+---
+
+## 验证结果
+
+删除后目录文件数：**65,544 → 9**
+
+```
+进程             PID      内存
+────             ───      ────
+ChsIME           22464    8.80 MB
+ctfmon           584      27.60 MB
+TextInputHost    14876    67.90 MB
+```
+
+CTF 加载程序 CPU 占用恢复正常，新版输入法恢复可用。
+
+---
+
+## 技术背景
+
+### Windows 两套输入法框架
+
+| | 旧版 (IMM32) | 新版 (TSF/CTF) |
+|---|---|---|
+| 架构 | 1990 年代设计 | Windows 8+ |
+| 多线程支持 | 差 | 好 |
+| 输入法切换 | 全局切换 | 按窗口独立 |
+| 应用兼容性 | 广泛 | 现代应用 |
+| 中文输入法选项 | "兼容模式" | 默认新版 |
+
+### CTF (Collaborative Translation Framework)
+
+CTF 是 TSF（Text Services Framework）的补充组件，负责：
+- 在输入法和应用程序之间传递文本
+- 管理输入法进程的生命周期
+- 协调多个输入法之间的切换
+
+`ctfmon.exe` 是 CTF 的监控进程，它挂了 → 所有基于 TSF 的输入法都不可用。
+
+---
+
+## 如果问题再次出现
+
+### 快速自查步骤
+
+1. 检查缓存文件数量：
+   ```powershell
+   (Get-ChildItem "$env:APPDATA\Microsoft\InputMethod\Chs" -Recurse).Count
+   ```
+   正常应 < 100。
+
+2. 检查 ctfmon CPU 占用：
+   ```powershell
+   (Get-Process ctfmon).CPU
+   ```
+   刚启动的进程 CPU 时间应接近 0。
+
+3. 如果问题频繁发生，排查：
+   - 最近是否频繁强制关机？
+   - 杀毒软件是否对 `%APPDATA%\Microsoft\InputMethod\` 目录有误报？
+   - 磁盘剩余空间是否充足（建议 > 10 GB）？
+
+### 终极方案：重建输入法
+
+如果清缓存无效，使用 PowerShell 重新注册输入法：
+
+```powershell
+# 移除中文语言包
+$LangList = Get-WinUserLanguageList
+$LangList.RemoveAll({ $args[0].LanguageTag -eq 'zh-Hans-CN' })
+Set-WinUserLanguageList $LangList -Force
+
+# 重新添加
+$LangList.Add("zh-Hans-CN")
+Set-WinUserLanguageList $LangList -Force
+```
+
+> ⚠️ 这会丢失所有用户词典和输入历史，仅作为最后手段。
+
+---
+
+## 相关路径速查
+
+| 路径 | 说明 |
+|------|------|
+| `%APPDATA%\Microsoft\InputMethod\Chs\` | 用户词典和输入历史缓存 |
+| `C:\Windows\System32\InputMethod\CHS\` | 简体中文 IME 核心文件 |
+| `C:\Windows\IME\zh-CN\` | 语言资源文件 |
+| `C:\Windows\System32\ctfmon.exe` | CTF 加载程序 |
@@ -0,0 +1,222 @@
+# 微软拼音打不出字？一次 ctfmon.exe 高 CPU 的排障实录
+
+> 环境：Windows 10 Pro for Workstations，版本 10.0.19045
+> 时间：2026-07-23
+
+## 一、症状：能打字的地方，不能打字了
+
+那天开机，切到微软拼音（新版）准备打字，结果键盘敲下去**毫无反应**——候选框不弹，候选词一个都不出，就像输入法根本没被唤醒。
+
+但诡异的是：
+
+- 切到**兼容模式**（设置里的"使用旧版微软拼音"），打字**完全正常**；
+- 换个程序试，还是一样——新版废了，兼容模式能用。
+
+这个"兼容模式能打字"的对比，是整件事的钥匙。后面每一步判断，几乎都建立在它上面。
+
+## 二、第一反应是错的：别急着怪游戏
+
+我最初怀疑是当时挂着的《战舰世界》把 CPU 抢光了，导致输入法没响应。
+
+于是先做了最基础的一步——**排除外部变量**：关掉游戏再试。
+
+结论：**开不开游戏，问题都在**。外部进程干扰被排除。
+
+> 经验：排查的第一步不是"动手修"，而是"确认现象可复现、并把无关变量逐个排除"。这样才能确定问题确实在输入法本身，而不是被别的东西带出来的。
+
+## 三、关键线索：兼容模式能打字，说明问题在"框架"
+
+这一步是全篇最重要的推理，值得单独讲。
+
+Windows 其实有**两套输入法框架**：
+
+| | 旧版（IMM32） | 新版（TSF / CTF） |
+|---|---|---|
+| 架构 | 上世纪 90 年代设计 | Windows 8+ |
+| 输入法切换 | 全局 | 按窗口独立 |
+| 中文输入法里的名字 | "兼容模式" | 默认（新版） |
+
+**兼容模式走的是旧框架 IMM32，新版走的是 TSF/CTF。** 既然旧的能用、新的不能用，那问题几乎可以肯定**出在新框架 TSF/CTF 这条链路上**，而不是键盘、不是驱动、也不是系统整体坏了。
+
+判断一下边界条件，范围瞬间缩到"新框架"这一个抽屉里。这就是"什么情况下正常，比什么情况下异常更有价值"。
+
+## 四、顺着框架找进程：ctfmon 的 CPU 不对劲
+
+TSF/CTF 框架背后有几个关键进程，最核心的是 **`ctfmon.exe`（CTF 加载程序）**——它一挂，所有基于新框架的输入法就都不工作。
+
+打开任务管理器（或命令行），看这几个进程的 CPU 累积时间：
+
+```powershell
+Get-Process -Name "ChsIME","ctfmon","TextInputHost" |
+    Select-Object Name, Id, CPU, @{n='内存MB';e={[math]::Round($_.WS/1MB,1)}}
+```
+
+（`tasklist | findstr /i "ime ctf chs"` 也可以快速列出来。）
+
+当时的结果：
+
+```
+进程            PID      CPU(秒)    内存(MB)
+────            ───      ───────    ────────
+ChsIME          10244    7.50       34.90
+ctfmon          22992    102.10     21.70   ← 异常
+TextInputHost   16820    6.90       16.70
+```
+
+**`ctfmon` 的累积 CPU 时间到了 102 秒**，而它是个几乎应该"闲着"的后台进程——正常刚启动时这个值应接近 0。
+
+一个监控进程烧掉 102 秒 CPU，通常意味着它在**反复重启 / 死循环 / 反复崩溃重试**。方向明确了：去看它到底在忙什么。
+
+## 五、顺着进程找数据：输入法把用户数据存在哪
+
+新框架启动时要读取用户数据（用户词典、输入历史等）。先把相关的几个目录探一遍：
+
+```powershell
+# 新版中文输入法的核心程序目录
+Test-Path "C:\Windows\System32\InputMethod\CHS\"      # 简体中文 IME 核心文件
+
+# 语言资源
+Test-Path "C:\Windows\IME\zh-CN\"
+
+# ★ 用户数据缓存（重点怀疑对象）
+Test-Path "$env:APPDATA\Microsoft\InputMethod\Chs\"
+```
+
+结果：
+
+| 路径 | 状态 |
+|------|------|
+| `C:\Windows\System32\InputMethod\CHS\` | ✅ 10 个核心文件，数字签名有效 |
+| `C:\Windows\IME\zh-CN\` | ⚠️ 空目录（有点怪，但不是主因） |
+| `%APPDATA%\Microsoft\InputMethod\Chs\` | 🔴 **一进去发现不对劲** |
+
+程序文件没问题（签名有效），那就把注意力放到**用户数据目录**上——这是最容易"攒垃圾"的地方。
+
+## 六、收网：65535 个 .tmp 文件
+
+先数一下这个目录里到底有多少文件：
+
+```powershell
+(Get-ChildItem "$env:APPDATA\Microsoft\InputMethod\Chs" -Recurse).Count
+```
+
+**65,544。** 正常状态下这个目录只该有十几个 `.dat` 文件。
+
+再看这些文件都是些什么——按扩展名统计：
+
+```powershell
+Get-ChildItem "$env:APPDATA\Microsoft\InputMethod\Chs" |
+    Group-Object Extension |
+    Sort-Object Count -Descending |
+    Format-Table Count, Name -AutoSize
+```
+
+结果一目了然：
+
+```
+Count    Name
+─────    ----
+65535    .tmp   ← 罪魁祸首
+8        .dat   ← 用户词典等，正常文件
+1        .bak   ← 词典备份
+```
+
+**65,535 个 `.tmp` 临时文件**，把缓存目录彻底撑爆了。
+
+> 顺带一提：65535 = 2¹⁶ − 1，正好是 16 位无符号整数的最大值。这暗示生成这些临时文件的**文件名计数器可能已经溢出回卷**了。
+
+## 七、根因：为什么是它，以及三个"为什么"
+
+### 为什么 65535 个 .tmp 会让输入法瘫痪
+
+新版微软拼音（TSF/CTF 框架）启动时会**扫描 `%APPDATA%\Microsoft\InputMethod\Chs\`** 来加载用户词典、输入历史等数据。面对 65,535 个损坏的临时文件，这个扫描过程陷入卡死（读取超时、IO 阻塞或循环重试），最终输入法框架彻底失去响应。
+
+进程层面就表现为 `ctfmon.exe` 被反复拖住、CPU 时间一路飙到 102 秒。
+
+### 为什么"兼容模式"不受影响
+
+因为兼容模式用的是**旧版 IMM32 框架**，它的数据存储路径和加载机制跟新版完全不同，**根本不经过这个缓存目录**——所以垃圾文件再多，也烧不到它。这正好解释了第二步那个关键现象。
+
+### 为什么会产生这么多 .tmp
+
+`.tmp` 文件是输入法写缓存时的中间产物，正常流程是：**写入 `.tmp` → 重命名为 `.dat`**。以下情况会让它堆积：
+
+1. 写入过程中被中断（强制关机、进程被杀、系统崩溃）；
+2. 杀毒软件锁定文件，阻止重命名；
+3. 磁盘写满导致写入失败，留下碎片；
+4. 框架自身崩溃，事务没正确提交。
+
+## 八、解决：只删垃圾，保住用户数据
+
+**动手前先说清楚**：这里要删的是 `.tmp` 临时文件，**绝不能连 `.dat` 一起删**——那是你的用户词典和输入历史。
+
+```powershell
+# 1. 先停掉输入法相关进程（会被系统自动重启，不用手动拉起）
+Get-Process -Name "ChsIME","ctfmon","TextInputHost" -ErrorAction SilentlyContinue |
+    Stop-Process -Force
+
+# 2. 只删 .tmp 临时文件，保留 .dat / .bak
+Get-ChildItem "$env:USERPROFILE\AppData\Roaming\Microsoft\InputMethod\Chs\*.tmp" |
+    Remove-Item -Force
+```
+
+保留下来的用户数据：
+
+| 文件 | 大小 | 用途 |
+|------|------|------|
+| `ChsPinyinUDL.dat` | 47 KB | 用户自定义词典 |
+| `ChsPinyinUDL.dat.bak` | 47 KB | 词典备份 |
+| `ChsPinyinIH.dat` | 256 KB | 输入历史 |
+| `ChsPinyinPinnedCands.dat` | 1 KB | 固定候选词 |
+| `ChsPinyinDeletedCands.dat` | 1 KB | 已删除候选词 |
+
+## 九、验证
+
+删除后重新数一遍文件数：
+
+```powershell
+(Get-ChildItem "$env:APPDATA\Microsoft\InputMethod\Chs").Count
+```
+
+**65,544 → 9。** 目录清爽了，用户词典一个没少。
+
+再切回**新版**微软拼音打字——恢复正常，问题解决。
+
+## 十、复盘：如果没有 AI 工具，我会怎么查
+
+这次能快速定位，靠的不是运气，而是一套可复用的顺序。整理成一句话就是：**症状精确 → 找边界 → 从外到内逐层排除 → 修复并回验**。
+
+1. **精确描述症状**：不能只说"坏了"。要回答：我做了什么？期望什么？实际发生了什么？
+2. **找边界条件（最关键）**：什么场景正常、什么场景异常？"兼容模式能打字"这种对比，就是一道窄门——穿过去，问题范围立刻缩小。
+3. **逐层排除，别跳层**：硬件 → 驱动 → 系统服务 → 应用配置 → 用户数据，逐层确认没问题再往下。**千万别一上来就重装系统**。
+4. **修复 + 验证**：改之前先备份（至少记下改了什么、怎么改回去）；改完回到最初的症状场景验证。
+
+配套的 Windows 自带工具，其实就够用了：
+
+- **任务管理器**（`Ctrl+Shift+Esc`）：按 CPU / 内存排序，找异常进程；
+- **资源监视器**（`Win+R` → `resmon`）：看谁在"繁忙"；
+- **事件查看器**（`Win+R` → `eventvwr`）：找红色错误；
+- 进阶可用 **Process Monitor (ProcMon)**：实时看某进程在读写哪些文件、访问哪些注册表，很多"莫名其妙的卡顿"一看日志就明明白白。
+
+## 附：关键路径速查
+
+| 路径 | 说明 |
+|------|------|
+| `%APPDATA%\Microsoft\InputMethod\Chs\` | 用户词典和输入历史缓存（最容易攒垃圾） |
+| `C:\Windows\System32\InputMethod\CHS\` | 简体中文 IME 核心文件 |
+| `C:\Windows\IME\zh-CN\` | 语言资源文件 |
+| `C:\Windows\System32\ctfmon.exe` | CTF 加载程序（挂了 → 新框架输入法全废） |
+
+### 快速自查（问题若复发）
+
+1. 看缓存目录文件数：`(Get-ChildItem "$env:APPDATA\Microsoft\InputMethod\Chs" -Recurse).Count`，正常应 < 100；
+2. 看 `ctfmon` CPU：`(Get-Process ctfmon).CPU`，刚启动应接近 0；
+3. 排查诱因：最近是否频繁强制关机？杀软是否误报该目录？磁盘剩余空间是否充足（建议 > 10 GB）？
+
+---
+
+> **记住四句话：**
+> 1. 症状精确了，问题就解决了一半。
+> 2. "什么情况下正常"比"什么情况下异常"更有价值。
+> 3. 从外到内逐层查，每层确认没问题再往下。
+> 4. 改之前先备份——至少记住怎么改回去。
@@ -0,0 +1,172 @@
+# 通用 Windows 排障思路（无 AI 自救指南）
+
+> 基于 CTF 中文输入法故障的实战经验总结
+
+---
+
+## 一、排查框架（四步法）
+
+### ① 精确描述症状
+
+不能只说"坏了"，要回答三个问题：
+
+| 问题 | 示例 |
+|------|------|
+| 做了什么？ | "按 Win+空格 切到微软拼音" |
+| 预期发生什么？ | "应该能打出中文字" |
+| 实际发生了什么？ | "敲键盘完全没反应，候选框也不弹" |
+
+### ② 寻找边界条件（🔑 最关键的一步）
+
+**什么场景下正常？什么场景下异常？**
+
+- 其他输入法能不能用？（区分"输入法问题"还是"键盘问题"）
+- 其他程序能不能打字？（区分"系统问题"还是"某个程序问题"）
+- 安全模式下能不能用？（区分"系统组件问题"还是"第三方干扰"）
+- 兼容模式/旧版能不能用？（区分"框架问题"还是"具体实现问题"）
+
+> 边界条件就是那道窄门，穿过去就找到了问题范围。
+
+### ③ 逐层排除（从外到内）
+
+```
+第 1 层：硬件
+  → 物理键盘是否正常？换个 USB 口试试？外接键盘能打吗？
+
+第 2 层：驱动
+  → 设备管理器里键盘驱动有没有黄色感叹号？
+
+第 3 层：系统服务
+  → 相关 Windows 服务是否在运行？
+  → 事件查看器里有没有红色错误？
+
+第 4 层：应用配置
+  → 语言设置是否正确？
+  → 输入法选项是否被意外修改？
+
+第 5 层：用户数据（最容易坏的）
+  → %APPDATA% 下的缓存和配置文件
+  → 目录文件数是否异常多？是否有大量 .tmp 文件？
+```
+
+**每一层确认没问题再往下一层。千万不要跳层，更不要一上来就重装系统。**
+
+### ④ 修复 + 验证
+
+- 改之前先备份（至少记住改了什么，能改回去）
+- 修完回到最初的症状场景验证
+- 如果没好，说明修错地方了，回到步骤 ② 重新分析
+
+---
+
+## 二、Windows 自带工具箱
+
+### 初级（图形界面，不用命令行）
+
+| 工具 | 怎么打开 | 看什么 |
+|------|---------|--------|
+| **任务管理器** | `Ctrl+Shift+Esc` | 进程选项卡 → 按 CPU/内存排序 → 找异常的 |
+| **事件查看器** | `Win+R` → `eventvwr` | Windows 日志 → 应用程序 → 找红色错误 |
+| **资源监视器** | `Win+R` → `resmon` | CPU 选项卡 → 看哪个进程在"繁忙" |
+| **磁盘清理** | `Win+R` → `cleanmgr` | 清理临时文件（包括输入法缓存） |
+| **可靠性监视器** | 搜索"可靠性" | 按日期看哪天的什么操作导致了问题 |
+
+### 中级（命令行，信息更精确）
+
+```cmd
+# 看进程列表（类似任务管理器但能复制粘贴）
+tasklist | findstr /i "ime ctf chs"
+
+# 检查系统文件是否损坏
+sfc /scannow
+
+# 检查磁盘错误
+chkdsk C: /f
+```
+
+```powershell
+# 看某个进程的详细信息
+Get-Process ctfmon | Format-List *
+
+# 看某个目录的文件数量（快速发现异常堆积）
+(Get-ChildItem "$env:APPDATA\Microsoft\InputMethod\Chs" -Recurse).Count
+
+# 按扩展名统计文件
+Get-ChildItem "$env:APPDATA\Microsoft\InputMethod\Chs" |
+    Group-Object Extension | Sort-Object Count -Descending
+
+# 看最近的系统事件日志
+Get-WinEvent -LogName System -MaxEvents 50 | Where-Object {
+    $_.LevelDisplayName -eq "错误"
+}
+```
+
+---
+
+## 三、搜索引擎速查表
+
+### 搜索关键词公式
+
+```
+[症状描述] [系统版本] [-排除词]
+```
+
+### 中文搜索
+
+```
+"微软拼音" "无响应"              ← 组件名 + 症状
+"输入法" "打不了字" "Win10"      ← 症状 + 系统
+"ctfmon" "CPU高"                 ← 异常进程名 + 异常指标
+```
+
+### 英文搜索（结果通常更多更准）
+
+```
+"Microsoft Pinyin" "not working" Windows 10
+"ctfmon.exe" "high CPU" "fix"
+"Chinese IME" "TSF" "crash"
+site:reddit.com "Chinese input" "Windows 10" "fix"
+```
+
+> **技巧**：在你的搜索词后面加 `site:reddit.com` 或 `site:superuser.com`，通常能找到真实用户分享的解决方案。
+
+### 搜索时要有"爬梯子"意识
+
+1. 先用宽泛词搜 → 找到几个可能的"专业术语"
+2. 用专业术语再搜 → 过滤掉无关结果
+3. 例如：
+   - 第一轮搜："中文打不了字" → 看到有人说"CTF加载程序"
+   - 第二轮搜："CTF加载程序 高CPU" → 看到有人说"输入法缓存tmp"
+   - 第三轮搜："ChsIME tmp files Windows 10" → 精确命中
+
+---
+
+## 四、关键路径速查
+
+| 路径 | 什么用 |
+|------|--------|
+| `%APPDATA%\Microsoft\InputMethod\` | 输入法用户缓存（最常坏） |
+| `%APPDATA%\Microsoft\Windows\Recent\` | 最近文件记录 |
+| `%TEMP%` 和 `%TMP%` | 系统和应用临时文件 |
+| `%LOCALAPPDATA%\Microsoft\Windows\Caches\` | Windows 各类缓存 |
+| `C:\Windows\System32\InputMethod\` | 输入法核心程序 |
+| `C:\Windows\Logs\` | 系统安装/更新日志 |
+
+---
+
+## 五、记住这四句话
+
+> 1. **症状精确了，问题就解决了一半。**
+> 2. **"什么情况下正常"比"什么情况下异常"更有价值。**
+> 3. **从外到内逐层查，每一层确认没问题再往下。**
+> 4. **改之前先备份——至少记住怎么改回去。**
+
+---
+
+## 六、学习资源
+
+- **Process Monitor (ProcMon)**：微软官方的免费工具，能实时监控进程在读写什么文件、访问什么注册表。下载：`https://learn.microsoft.com/en-us/sysinternals/downloads/procmon`
+- **Process Explorer (ProcExp)**：增强版任务管理器，能看到每个进程的线程、句柄、加载的 DLL。
+- **Windows Internals**（书）：如果真想深入理解 Windows 底层，这是圣经。
+
+> 这些 Sysinternals 工具不需要安装，下载解压就能用。ProcMon 尤其推荐——选中一个进程，你能看到它在读什么文件、写什么注册表、连接什么网络。很多"莫名其妙的卡顿"看 ProcMon 日志一目了然。