檔案系統Minifilter驅動

宣告：

本系列文章源於WDK，所有權利歸原作者所有，翻譯的目的只為交流和學習。

說明：

所有preoperation及postoperation均簡寫為pre-oper和post-oper

所有檔案系統過濾驅動均簡寫為FSFD

所有基於IRP的I/O即IRP-based I/O均簡寫為IRP-I/O

版本：

20090220

Filter管理器和Minifilter驅動架構

Filter管理器是一個核心模式驅動，它遵照legacy檔案系統filter模型並暴露了FSFD中必需的一般功能。利用這些功能，第三方開發者可以寫minifilter驅動，這樣的驅動比legacy FSFD更易於開發，因此縮短了開發過程同時製造出更高質量、更靈活的驅動。

本章包括: 

一、Filter管理器概念

Filter管理器隨Windows一起被安裝，但它只在一個minifilter驅動被載入時才會起作用。Filter管理器繫結到目標卷的檔案系統棧上。Minifilter驅動為它要過濾的I/O操作而通過向filter管理器註冊來間接繫結到檔案系統棧上。

Legacy過濾驅動在檔案系統I/O棧中的位置，相對於其他過濾驅動來說是在系統啟動時由它的載入順序組決定的。例如，一個antivirus過濾驅動在棧中的位置應該高於一個replication過濾驅動，因而它能在檔案被複制到遠端伺服器之前探測病毒並消除檔案中的病毒。因此，FSFilter Anti-Virus載入順序組中的過濾驅動的載入要先於FSFilter Replication組中的過濾驅動。每一個載入順序組都有一個相應的系統定義的類和INF檔案中要使用的類GUID。

像legacy過濾驅動一樣，minifilter驅動的繫結也按照一個特定的順序。不過，繫結體的順序是由一個叫altitude的唯一識別符號決定的。Minifilter驅動在特定捲上的一個特定altitude的繫結體被稱為這個minifilter驅動的一個instance。

Minifilter驅動的altitude確保它的例項總是在相應的位置被載入，它決定filter管理器以什麼順序來呼叫minifilter驅動來處理I/O。Altitudes由微軟分配和管理。

下圖展示了一個用filter管理器簡化後的I/O棧和三個minifilter驅動。

用Filter管理器簡化後的I/O棧和Minifilter驅動

Minifilter驅動能過濾IRP-I/O操作、fast I/O和FSFilter callback操作。對每一個它要過濾的I/O操作它都可以註冊一個pre-oper callback例程，一個post-oper callback 例程或二者都註冊。當處理一個I/O操作時，filter管理器呼叫每個minifilter為此操作註冊的callback例程。當該callback例程返回時，filter管理器呼叫下一minifilter驅動為此操作註冊的callback例程。

舉個例子，假設上圖中的三個minifilter驅動都為同一I/O操作註冊了callback例程，則filter管理器會以altitude由高到低的順序(A,B,C)呼叫它們的pre-oper callback例程，然後把此I/O操作轉寄給下一較低階的驅動進一步處理。當filter管理器接收到此I/O請求的完成時，它以相反的順序即由低到高(C,B,A)呼叫每一個minifilter驅動的post-oper callback例程。

為了同legacy過濾驅動協同工作，filter管理器可以繫結filter裝置物件到同一個檔案系統I/O棧的多個位置。每一個filter管理器的filter裝置物件都叫做一個frame。從legacy過濾驅動的角度來說，每一個filter管理器frame僅僅是另外的一個legacy過濾驅動。

每一個filter管理器frame都表示一個altitude區間。如果某個legacy過濾驅動被繫結到檔案系統棧上，系統就為在該legacy過濾驅動之上或之下的altitude範圍繫結一個filter管理器frame，來確保minifilter驅動繫結到正確的位置上。

如果某個minifilter驅動被解除安裝並重載入，則它會被重載入到同一frame(它從其中被解除安裝)中的同一altitude上。

用兩個Filter管理器Frame和一個legacy過濾驅動簡化後的I/O棧