@NeoAtlantis 大概研究了一下。
结论如下：
目前来说，对硬件数字证书的操作，需要通过CSP API或者PCKS#11 API去操作。
应用程序没有直接去操作硬件数字证书的能力。（或者说只是不知道怎么去直接操作硬件）
CSP API和PCKS#11 API的中间件由数字证书厂家制作，没有公开源代码（或者我没找到）。

所以数字证书的私钥有没有释放给windows，那就要看硬件数字证书厂家对中间件的实现了。


按照我目前的经验：
对于使用CSP API的程序，操作数字证书的session在不同程序之间是不共享的（比如说我在IE里登陆了硬件数字证书，在Outlook需要使用硬件数字证书的话需要另外登陆，不能共享IE里的session）。至于其他程序能不能通过读内存的方式获取到已有的session，这个就不知道了，不过感觉Windows应该会有相关的内存保护措施吧。

对于PCKS#11 API的程序，那就真的看程序自己的实现了。像Firefox在一段时间内不操作数字证书（这个时间很短，几分钟的样子），就会要求重新登陆硬件数字证书（说明firefox并没有在内存里保存硬件数字证书的登陆密码？）。不过我相信其他程序绝对有能力注入Firefox的进程获取到一部分信息，具体多少？我不知道。