第10章 文件系统小过滤驱动
第10章 文件系统小过滤驱动覆盖40个正式目录坐标，用版本/IRQL合同、可执行对象探针与安全门交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果
学习目标
- 把Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试落实为Windows build、驱动模型、内核对象、执行上下文、调用链与恢复条件
- 只注入“伪造高度、名称或context引用泄漏、pre/post返回错误、通信端口或实例未关闭”，定位第10章 文件系统小过滤驱动相对签名参考驱动的首个分岔
- 交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果，明确区分中文版一版、作者二版迁移轨与目标Microsoft平台轨
为什么从这个问题开始
第10章 文件系统小过滤驱动围绕“Minifilter的高度、注册、实例、pre/post、文件名、context、I/O、通信端口与卸载怎样闭环？”建立贯穿任务。先冻结出版轨、目标build、驱动包和对象身份，再以小输入观察状态与调用链，最后用唯一故障和同输入恢复验收；只有守住“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”并交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果，目录术语、DDI名字或一次成功加载才可能升级为机制证据。
来源合同、版本差异与安全边界
第10章 文件系统小过滤驱动以作者一版Leanpub完整公开目录核对Pavel Yosifovich《Windows Kernel Programming》2020-12-10版本、455页和11章结构；中文版采用李亮译《Windows内核编程》，机械工业出版社2021年版，ISBN 9787111684756。中文版治理清单是11章185个正式坐标，章根已计入；作者一版公开目录按同口径是204个坐标，两者相差19项。
官方18页样章开放一版身份、第一章目录以及进程、虚拟内存、线程和系统调用的局部正文，因此本站来源访问级别是authorized-sample。样章不授权其余正文、代码、图表或练习；第10章 文件系统小过滤驱动是中文独立教学重构，不复制未开放内容。
第10章 文件系统小过滤驱动登记的19项差异是：第1章：Thread Stacks；第2章：Exercises；第5章：Tutorial: User mode debugging basics；第6章：Using DPC with a Timer；第6章：Critical Regions and Guarded Regions；第6章：The Spin Lock；第7章：IRP Flow；第7章：Viewing IRP Information；第7章：Completing a Request；第8章：The User Mode Client；第8章：Exercises；第9章：Desktop Objects；第9章：Exercises；第10章：Pipes and Mailslots；第10章：Direct Access Volume (DAX or DAS)；第10章：Context Types；第10章：Managing Contexts；第10章：Exercises；第11章：Example Driver Verifier Sessions。它们可能来自译本底稿、修订时点或目录裁剪；没有出版社正文证据就保持“来源差异”，不补成中文版坐标，也不把作者页面的后续更新倒写给译者。
第10章 文件系统小过滤驱动把三条轨道分开：中文版/作者一版解释成书范围；作者二版及MIT示例仓库只做迁移参考；当前平台轨以Microsoft Learn和目标系统公开DDI核对。第10章 文件系统小过滤驱动的实验必须记录完整Windows build、架构、SDK、WDK、Visual Studio、驱动模型、签名、VBS/HVCI、驱动包摘要和符号，不能只写Windows 11或latest。
第10章 文件系统小过滤驱动涉及内核代码、驱动部署、回调、用户缓冲区、Minifilter、Verifier和故障调试。第10章 文件系统小过滤驱动页面只给实验协议；执行仅允许在可丢弃VM或专用测试机，并预备快照、备份、宿主内核调试、崩溃转储、超时、恢复启动和Verifier reset。生产设备、日常主机和无法承受蓝屏或数据损坏的对象不在实验范围内。
本页独立事实来源
- 作者一版Leanpub页面与完整公开目录：第10章 文件系统小过滤驱动用它核对Pavel Yosifovich、2020-12-10版本、455页、11章公开目录与软件内核驱动范围。
- 作者一版Leanpub官方18页授权样章：第10章 文件系统小过滤驱动用它局部核对一版身份、第一章目录及进程、虚拟内存、线程和系统调用开放正文；不扩大整书授权。
- 作者二版Leanpub页面与完整公开目录：第10章 文件系统小过滤驱动用它建立二版迁移轨，识别新增章节和接口；不把二版倒写成2021年中文版。
- 作者二版MIT示例仓库：第10章 文件系统小过滤驱动用它核对当前作者示例的章节归属、提交与许可；仓库只对应二版。
- Microsoft Minifilter装入与卸载：第10章 文件系统小过滤驱动用它核对FltRegisterFilter、FltStartFiltering、实例、端口和反向卸载。
- Microsoft Minifilter高度与加载组：第10章 文件系统小过滤驱动用它核对唯一十进制高度、加载次序和正式分配边界。
- Microsoft文件系统过滤器验证：第10章 文件系统小过滤驱动用它核对callback data、context、名称信息与引用泄漏验证。
- Microsoft驱动安全清单：第10章 文件系统小过滤驱动用它核对内核必要性、最小权限、WDF、HVCI、测试、签名和发布门。
正式目录坐标逐项解释
第10章 文件系统小过滤驱动
坐标 1/40：第10章 文件系统小过滤驱动。稳定证据键 WKP2-C10-A。 第10章 文件系统小过滤驱动把第10章 文件系统小过滤驱动映射到“Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试”中的对象身份、所有者、引用、IRQL和调用线程。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.1 简介
坐标 2/40：10·1 简介。稳定证据键 WKP2-C10-B。 第10章 文件系统小过滤驱动为10·1 简介分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.2 装入与卸载
坐标 3/40：10·2 装入与卸载。稳定证据键 WKP2-C10-C。 第10章 文件系统小过滤驱动对10·2 装入与卸载预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.3 初始化
坐标 4/40：10·3 初始化。稳定证据键 WKP2-C10-D。 第10章 文件系统小过滤驱动用10·3 初始化构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.3.1 操作回调注册
坐标 5/40：10·3·1 操作回调注册。稳定证据键 WKP2-C10-E。 第10章 文件系统小过滤驱动把10·3·1 操作回调注册映射到“Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试”中的对象身份、所有者、引用、IRQL和调用线程。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.3.2 高度
坐标 6/40：10·3·2 高度。稳定证据键 WKP2-C10-F。 第10章 文件系统小过滤驱动为10·3·2 高度分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.4 安装
坐标 7/40：10·4 安装。稳定证据键 WKP2-C10-G。 第10章 文件系统小过滤驱动对10·4 安装预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.4.1 INF文件
坐标 8/40：10·4·1 INF文件。稳定证据键 WKP2-C10-H。 第10章 文件系统小过滤驱动用10·4·1 INF文件构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.4.2 安装驱动程序
坐标 9/40：10·4·2 安装驱动程序。稳定证据键 WKP2-C10-I。 第10章 文件系统小过滤驱动把10·4·2 安装驱动程序映射到“Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试”中的对象身份、所有者、引用、IRQL和调用线程。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.5 处理I/O操作
坐标 10/40：10·5 处理I/O操作。稳定证据键 WKP2-C10-J。 第10章 文件系统小过滤驱动为10·5 处理I/O操作分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.5.1 操作前回调
坐标 11/40：10·5·1 操作前回调。稳定证据键 WKP2-C10-K。 第10章 文件系统小过滤驱动对10·5·1 操作前回调预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.5.2 操作后回调
坐标 12/40：10·5·2 操作后回调。稳定证据键 WKP2-C10-L。 第10章 文件系统小过滤驱动用10·5·2 操作后回调构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.6 删除保护驱动程序
坐标 13/40：10·6 删除保护驱动程序。稳定证据键 WKP2-C10-M。 第10章 文件系统小过滤驱动把10·6 删除保护驱动程序映射到“Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试”中的对象身份、所有者、引用、IRQL和调用线程。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.6.1 处理创建前回调
坐标 14/40：10·6·1 处理创建前回调。稳定证据键 WKP2-C10-N。 第10章 文件系统小过滤驱动为10·6·1 处理创建前回调分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.6.2 处理设置信息前回调
坐标 15/40：10·6·2 处理设置信息前回调。稳定证据键 WKP2-C10-O。 第10章 文件系统小过滤驱动对10·6·2 处理设置信息前回调预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.6.3 重构
坐标 16/40：10·6·3 重构。稳定证据键 WKP2-C10-P。 第10章 文件系统小过滤驱动用10·6·3 重构构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.6.4 将驱动程序通用化
坐标 17/40：10·6·4 将驱动程序通用化。稳定证据键 WKP2-C10-Q。 第10章 文件系统小过滤驱动把10·6·4 将驱动程序通用化映射到“Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试”中的对象身份、所有者、引用、IRQL和调用线程。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.6.5 测试修改后的驱动程序
坐标 18/40：10·6·5 测试修改后的驱动程序。稳定证据键 WKP2-C10-R。 第10章 文件系统小过滤驱动为10·6·5 测试修改后的驱动程序分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.7 文件名
坐标 19/40：10·7 文件名。稳定证据键 WKP2-C10-S。 第10章 文件系统小过滤驱动对10·7 文件名预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.7.1 文件名的各个部分
坐标 20/40：10·7·1 文件名的各个部分。稳定证据键 WKP2-C10-T。 第10章 文件系统小过滤驱动用10·7·1 文件名的各个部分构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.7.2 RAII FLT_FILE_NAME_INFORMATION包装器
坐标 21/40：10·7·2 RAII FLT_FILE_NAME_INFORMATION包装器。稳定证据键 WKP2-C10-U。 第10章 文件系统小过滤驱动把10·7·2 RAII FLT_FILE_NAME_INFORMATION包装器映射到“Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试”中的对象身份、所有者、引用、IRQL和调用线程。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.8 另一个删除保护驱动程序
坐标 22/40：10·8 另一个删除保护驱动程序。稳定证据键 WKP2-C10-V。 第10章 文件系统小过滤驱动为10·8 另一个删除保护驱动程序分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.8.1 处理创建前回调和设置信息前回调
坐标 23/40：10·8·1 处理创建前回调和设置信息前回调。稳定证据键 WKP2-C10-W。 第10章 文件系统小过滤驱动对10·8·1 处理创建前回调和设置信息前回调预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.8.2 测试驱动程序
坐标 24/40：10·8·2 测试驱动程序。稳定证据键 WKP2-C10-X。 第10章 文件系统小过滤驱动用10·8·2 测试驱动程序构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.9 上下文
坐标 25/40：10·9 上下文。稳定证据键 WKP2-C10-Y。 第10章 文件系统小过滤驱动把10·9 上下文映射到“Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试”中的对象身份、所有者、引用、IRQL和调用线程。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.10 初始化I/O请求
坐标 26/40：10·10 初始化I/O请求。稳定证据键 WKP2-C10-Z。 第10章 文件系统小过滤驱动为10·10 初始化I/O请求分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.11 文件备份驱动程序
坐标 27/40：10·11 文件备份驱动程序。稳定证据键 WKP2-C10-AA。 第10章 文件系统小过滤驱动对10·11 文件备份驱动程序预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.11.1 创建后回调
坐标 28/40：10·11·1 创建后回调。稳定证据键 WKP2-C10-AB。 第10章 文件系统小过滤驱动用10·11·1 创建后回调构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.11.2 写前回调
坐标 29/40：10·11·2 写前回调。稳定证据键 WKP2-C10-AC。 第10章 文件系统小过滤驱动把10·11·2 写前回调映射到“Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试”中的对象身份、所有者、引用、IRQL和调用线程。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.11.3 清理后回调
坐标 30/40：10·11·3 清理后回调。稳定证据键 WKP2-C10-AD。 第10章 文件系统小过滤驱动为10·11·3 清理后回调分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.11.4 测试驱动程序
坐标 31/40：10·11·4 测试驱动程序。稳定证据键 WKP2-C10-AE。 第10章 文件系统小过滤驱动对10·11·4 测试驱动程序预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.11.5 恢复备份
坐标 32/40：10·11·5 恢复备份。稳定证据键 WKP2-C10-AF。 第10章 文件系统小过滤驱动用10·11·5 恢复备份构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.12 用户模式通信
坐标 33/40：10·12 用户模式通信。稳定证据键 WKP2-C10-AG。 第10章 文件系统小过滤驱动把10·12 用户模式通信映射到“Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试”中的对象身份、所有者、引用、IRQL和调用线程。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.12.1 创建通信端口
坐标 34/40：10·12·1 创建通信端口。稳定证据键 WKP2-C10-AH。 第10章 文件系统小过滤驱动为10·12·1 创建通信端口分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.12.2 用户模式连接
坐标 35/40：10·12·2 用户模式连接。稳定证据键 WKP2-C10-AI。 第10章 文件系统小过滤驱动对10·12·2 用户模式连接预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.12.3 发送和接收消息
坐标 36/40：10·12·3 发送和接收消息。稳定证据键 WKP2-C10-AJ。 第10章 文件系统小过滤驱动用10·12·3 发送和接收消息构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.12.4 增强文件备份驱动程序
坐标 37/40：10·12·4 增强文件备份驱动程序。稳定证据键 WKP2-C10-AK。 第10章 文件系统小过滤驱动把10·12·4 增强文件备份驱动程序映射到“Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试”中的对象身份、所有者、引用、IRQL和调用线程。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.12.5 用户模式客户程序
坐标 38/40：10·12·5 用户模式客户程序。稳定证据键 WKP2-C10-AL。 第10章 文件系统小过滤驱动为10·12·5 用户模式客户程序分别记录中文版一版对象、作者二版迁移和目标Microsoft DDI，形成显式版本差分。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.13 调试
坐标 39/40：10·13 调试。稳定证据键 WKP2-C10-AM。 第10章 文件系统小过滤驱动对10·13 调试预注册输入、唯一控制与首个WinDbg/ETW/状态信号，不以最终蓝屏或成功加载替代调用链。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
10.15 总结
坐标 40/40：10·15 总结。稳定证据键 WKP2-C10-AN。 第10章 文件系统小过滤驱动用10·15 总结构造可撤销反例，安全卸载或恢复快照后以同驱动包和输入重新验收“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”。 第10章 文件系统小过滤驱动必须交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果中的对应记录；目录标题限定范围，授权样章只支持开放页，Microsoft文档支持当前平台，三者都不能替代目标build的运行证据。
三个可操作证据视图
第10章 文件系统小过滤驱动先选择正式坐标、版本轨和执行上下文，再调整小输入复算对象数量、队列或缓冲边界，最后逐阶段切换参考、单故障与恢复。每个视图都保留重置，不生成驱动成熟度、风险或性能综合分。
版本合同：选择坐标、出版轨与IRQL
版本—驱动模型—执行上下文合同
第10章 文件系统小过滤驱动
先选正式坐标，再分开一版、二版与目标平台，并冻结真实IRQL边界。
坐标 1/40
第10章 文件系统小过滤驱动
- 版本身份
- 中文版以2021年机械工业出版社版为范围；作者一版页面与18页授权样章只支持目录、版本及开放页核对。
- 来源与迁移边界
- 中文版185坐标与作者一版公开目录204坐标存在19项差异；差异项只能标注，不得冒充中文版缺失正文。
- PASSIVE_LEVEL
- 记录调用线程、进程上下文、可分页性、等待、用户缓冲区捕获、锁和卸载状态；不能仅凭例程名推断上下文。
第10章 文件系统小过滤驱动的探针真正计算对象/句柄、构建矩阵、池载荷、IOCTL请求、转储二分提示、DPC预算、IRP栈位置、通知队列、回调关联、Minifilter消息或Verifier请求。公式公开且只用于小模型；真实延迟、内存、安全和并发结论必须来自目标build、驱动包、测试机与捕获。
最小可重现实验协议
- 第10章 文件系统小过滤驱动先冻结Windows产品与完整build、架构、SDK、WDK、Visual Studio、驱动模型、SYS/INF/CAT摘要、签名、VBS/HVCI、符号、VM快照、输入和预期结果。
- 第10章 文件系统小过滤驱动只在可丢弃VM或专用测试机运行签名参考驱动，保存高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果；基线不稳、符号不匹配、对象身份不明或调试宿主不可用时停止。
- 第10章 文件系统小过滤驱动保持其余条件不变，只注入“伪造高度、名称或context引用泄漏、pre/post返回错误、通信端口或实例未关闭”，记录首个对象状态、NTSTATUS、IRQL、线程、CPU、时间、调用链、竞争性解释和停止条件。
- 第10章 文件系统小过滤驱动停止新请求与回调，反向排空IRP、队列、端口、实例、引用和设备，必要时执行Verifier reset或恢复快照；以同输入重放，无法恢复“过滤次序合法且callback data、名称、context、端口、实例和filter引用全部归零”则标记失败或未知。
小结与上架门
第10章 文件系统小过滤驱动把Minifilter装卸、初始化、高度、I/O、删除保护、文件名、context、备份、通信与调试连接成可复核链：中文版目录给185正式坐标，作者一版页面暴露19项目录差异，18页样章限定局部授权，二版与MIT仓库只支持迁移，当前Microsoft文档和目标DDI限定实际合同。版本/IRQL合同、透明对象探针、唯一故障首错、反向卸载和同输入恢复共同决定能否上架。最终交付高度/加载组身份、操作回调轨迹、名称/context引用、端口消息与Filter Verifier结果并同时报告未测build、未开放正文和安全边界。
练习与答案
练习
问题 1：10.1 简介
为第10章 文件系统小过滤驱动的 WKP2-C10-B 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·1 简介的IRQL或用户边界。
问题 2：10.2 装入与卸载
为第10章 文件系统小过滤驱动的 WKP2-C10-C 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·2 装入与卸载的IRQL或用户边界。
问题 3：10.3 初始化
为第10章 文件系统小过滤驱动的 WKP2-C10-D 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·3 初始化的IRQL或用户边界。
问题 4：10.3.1 操作回调注册
为第10章 文件系统小过滤驱动的 WKP2-C10-E 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·3·1 操作回调注册的IRQL或用户边界。
问题 5：10.3.2 高度
为第10章 文件系统小过滤驱动的 WKP2-C10-F 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·3·2 高度的IRQL或用户边界。
问题 6：10.4 安装
为第10章 文件系统小过滤驱动的 WKP2-C10-G 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·4 安装的IRQL或用户边界。
问题 7：10.4.1 INF文件
为第10章 文件系统小过滤驱动的 WKP2-C10-H 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·4·1 INF文件的IRQL或用户边界。
问题 8：10.4.2 安装驱动程序
为第10章 文件系统小过滤驱动的 WKP2-C10-I 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·4·2 安装驱动程序的IRQL或用户边界。
问题 9：10.5 处理I/O操作
为第10章 文件系统小过滤驱动的 WKP2-C10-J 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·5 处理I/O操作的IRQL或用户边界。
问题 10：10.5.1 操作前回调
为第10章 文件系统小过滤驱动的 WKP2-C10-K 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·5·1 操作前回调的IRQL或用户边界。
问题 11：10.5.2 操作后回调
为第10章 文件系统小过滤驱动的 WKP2-C10-L 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·5·2 操作后回调的IRQL或用户边界。
问题 12：10.6 删除保护驱动程序
为第10章 文件系统小过滤驱动的 WKP2-C10-M 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·6 删除保护驱动程序的IRQL或用户边界。
问题 13：10.6.1 处理创建前回调
为第10章 文件系统小过滤驱动的 WKP2-C10-N 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·6·1 处理创建前回调的IRQL或用户边界。
问题 14：10.6.2 处理设置信息前回调
为第10章 文件系统小过滤驱动的 WKP2-C10-O 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·6·2 处理设置信息前回调的IRQL或用户边界。
问题 15：10.6.3 重构
为第10章 文件系统小过滤驱动的 WKP2-C10-P 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·6·3 重构的IRQL或用户边界。
问题 16：10.6.4 将驱动程序通用化
为第10章 文件系统小过滤驱动的 WKP2-C10-Q 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·6·4 将驱动程序通用化的IRQL或用户边界。
问题 17：10.6.5 测试修改后的驱动程序
为第10章 文件系统小过滤驱动的 WKP2-C10-R 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·6·5 测试修改后的驱动程序的IRQL或用户边界。
问题 18：10.7 文件名
为第10章 文件系统小过滤驱动的 WKP2-C10-S 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·7 文件名的IRQL或用户边界。
问题 19：10.7.1 文件名的各个部分
为第10章 文件系统小过滤驱动的 WKP2-C10-T 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·7·1 文件名的各个部分的IRQL或用户边界。
问题 20：10.7.2 RAII FLT_FILE_NAME_INFORMATION包装器
为第10章 文件系统小过滤驱动的 WKP2-C10-U 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·7·2 RAII FLT_FILE_NAME_INFORMATION包装器的IRQL或用户边界。
问题 21：10.8 另一个删除保护驱动程序
为第10章 文件系统小过滤驱动的 WKP2-C10-V 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·8 另一个删除保护驱动程序的IRQL或用户边界。
问题 22：10.8.1 处理创建前回调和设置信息前回调
为第10章 文件系统小过滤驱动的 WKP2-C10-W 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·8·1 处理创建前回调和设置信息前回调的IRQL或用户边界。
问题 23：10.8.2 测试驱动程序
为第10章 文件系统小过滤驱动的 WKP2-C10-X 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·8·2 测试驱动程序的IRQL或用户边界。
问题 24：10.9 上下文
为第10章 文件系统小过滤驱动的 WKP2-C10-Y 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·9 上下文的IRQL或用户边界。
问题 25：10.10 初始化I/O请求
为第10章 文件系统小过滤驱动的 WKP2-C10-Z 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·10 初始化I/O请求的IRQL或用户边界。
问题 26：10.11 文件备份驱动程序
为第10章 文件系统小过滤驱动的 WKP2-C10-AA 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·11 文件备份驱动程序的IRQL或用户边界。
问题 27：10.11.1 创建后回调
为第10章 文件系统小过滤驱动的 WKP2-C10-AB 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·11·1 创建后回调的IRQL或用户边界。
问题 28：10.11.2 写前回调
为第10章 文件系统小过滤驱动的 WKP2-C10-AC 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·11·2 写前回调的IRQL或用户边界。
问题 29：10.11.3 清理后回调
为第10章 文件系统小过滤驱动的 WKP2-C10-AD 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·11·3 清理后回调的IRQL或用户边界。
问题 30：10.11.4 测试驱动程序
为第10章 文件系统小过滤驱动的 WKP2-C10-AE 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·11·4 测试驱动程序的IRQL或用户边界。
问题 31：10.11.5 恢复备份
为第10章 文件系统小过滤驱动的 WKP2-C10-AF 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·11·5 恢复备份的IRQL或用户边界。
问题 32：10.12 用户模式通信
为第10章 文件系统小过滤驱动的 WKP2-C10-AG 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·12 用户模式通信的IRQL或用户边界。
问题 33：10.12.1 创建通信端口
为第10章 文件系统小过滤驱动的 WKP2-C10-AH 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·12·1 创建通信端口的IRQL或用户边界。
问题 34：10.12.2 用户模式连接
为第10章 文件系统小过滤驱动的 WKP2-C10-AI 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·12·2 用户模式连接的IRQL或用户边界。
问题 35：10.12.3 发送和接收消息
为第10章 文件系统小过滤驱动的 WKP2-C10-AJ 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·12·3 发送和接收消息的IRQL或用户边界。
问题 36：10.12.4 增强文件备份驱动程序
为第10章 文件系统小过滤驱动的 WKP2-C10-AK 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·12·4 增强文件备份驱动程序的IRQL或用户边界。
问题 37：10.12.5 用户模式客户程序
为第10章 文件系统小过滤驱动的 WKP2-C10-AL 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·12·5 用户模式客户程序的IRQL或用户边界。
问题 38：10.13 调试
为第10章 文件系统小过滤驱动的 WKP2-C10-AM 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·13 调试的IRQL或用户边界。
问题 39：10.15 总结
为第10章 文件系统小过滤驱动的 WKP2-C10-AN 设计一个中文版一版/作者二版/目标平台差分、签名参考基线、唯一故障、首个对象或调用链信号和恢复断言，并说明10·15 总结的IRQL或用户边界。
问题 40：为什么中文版185坐标不能静默扩成作者目录204坐标
第10章 文件系统小过滤驱动应怎样处理19项来源差异、18页样章和作者二版？
问题 41：什么时候必须停止内核实验
第10章 文件系统小过滤驱动缺少哪些条件时不能继续？
六个裁决术语
第10章 文件系统小过滤驱动使用↡第10章 文件系统小过滤驱动的Windows完整build、架构、SDK、WDK、工具链、驱动包、签名与安全状态、↡第10章 文件系统小过滤驱动对象所处的线程/进程、IRQL、可分页性、等待、锁与用户缓冲区边界、↡第10章 文件系统小过滤驱动中Driver、Device、File、IRP、callback、filter、instance或context的所有权关系、↡第10章 文件系统小过滤驱动单故障轨迹相对签名参考驱动最早出现状态、NTSTATUS或调用链差异的位置、↡第10章 文件系统小过滤驱动把中文版185坐标、作者一版204坐标、二版与目标平台分开的显式记录、↡第10章 文件系统小过滤驱动反向清理或恢复快照后用原驱动包与输入恢复对象、引用、队列和信号的断言构成最小证据语言；这些术语指向真实build、对象、IRQL、调用链与恢复，不生成成熟度、风险或性能综合分。
名词解释
本章出现的专业名词，用大白话再讲一遍。
- 目标身份
第10章 文件系统小过滤驱动的Windows完整build、架构、SDK、WDK、工具链、驱动包、签名与安全状态。
- 执行上下文
第10章 文件系统小过滤驱动对象所处的线程/进程、IRQL、可分页性、等待、锁与用户缓冲区边界。
- 驱动对象链
第10章 文件系统小过滤驱动中Driver、Device、File、IRP、callback、filter、instance或context的所有权关系。
- 首个分岔
第10章 文件系统小过滤驱动单故障轨迹相对签名参考驱动最早出现状态、NTSTATUS或调用链差异的位置。
- 出版轨差异
第10章 文件系统小过滤驱动把中文版185坐标、作者一版204坐标、二版与目标平台分开的显式记录。
- 同输入恢复
第10章 文件系统小过滤驱动反向清理或恢复快照后用原驱动包与输入恢复对象、引用、队列和信号的断言。