操作後コールバックルーチンの記述

[アーティクル]
04/03/2024

ファイルシステムミニフィルタードライバーは、1 つ以上の 操作後コールバックルーチン を使用して I/O 操作をフィルター処理します。

操作後コールバックルーチンは、次のいずれかのアクションを実行できます。

事後処理ルーチンで完了作業を直接実行します。 IRQL <= DISPATCH_LEVELですべての完了作業を実行できます。
安全な IRQL で完了作業を実行します。 FLT_STATUS_MORE_PROCESSING_REQUIRED 返し、ワーカースレッドをキューに入れ、安全な IRQL での処理を許可します。処理が完了すると、ワーカースレッドは FltCompletePendedPostOperation を呼び出して、事後処理を続行します。
作成操作をキャンセルする

操作後コールバックルーチン は、従来のファイルシステムフィルタードライバーで使用される 完了ルーチン に似ています。

ミニフィルタードライバーは、 操作前コールバックルーチン を登録するのと同じ方法で、特定の種類の I/O 操作の操作後コールバックルーチンを登録します。つまり、ミニフィルタードライバーが DriverEntry ルーチンの FltRegisterFilter にパラメーターとして渡す FLT_REGISTRATION 構造体の OperationRegistration メンバーにコールバックルーチンのエントリポイントを格納します。

ミニフィルタードライバーは、操作前または操作後のコールバックルーチンを登録した I/O 操作の種類のみを受け取ります。ミニフィルタードライバーは操作後コールバックルーチンを登録せずに、特定の種類の I/O 操作の操作前コールバックルーチンを登録できます。その逆も同様です。

すべての操作後コールバックルーチンは、次のように定義されます。

typedef FLT_POSTOP_CALLBACK_STATUS 
(*PFLT_POST_OPERATION_CALLBACK) ( 
    IN OUT PFLT_CALLBACK_DATA Data, 
    IN PCFLT_RELATED_OBJECTS FltObjects, 
    IN PVOID CompletionContext, 
    IN FLT_POST_OPERATION_FLAGS Flags 
    );

完了ルーチンと同様に、任意のスレッドコンテキストで IRQL <= DISPATCH_LEVEL でポスト操作コールバックルーチンが呼び出されます。

IRQL = DISPATCH_LEVEL で呼び出すことができるため、操作後コールバックルーチンは FltLockUserBuffer や RtlCompareUnicodeString などの下位 IRQL で呼び出す必要があるカーネルモードルーチンを呼び出すことはできません。同じ理由から、操作後コールバックルーチンで使用されるデータ構造は、非ページ・プールから割り振る必要があります。

上記の規則の例外は次のとおりです。

ミニフィルタードライバーの操作前コールバックルーチンが IRP ベースの I/O 操作の FLT_PREOP_SYNCHRONIZE を返す場合、対応する操作後コールバックルーチンは、IRQL <= APC_LEVELで呼び出されます。これは、操作前コールバックルーチンと同じスレッドコンテキストで行われます。
高速 I/O 操作の操作後コールバックルーチンは、IRQL = PASSIVE_LEVELで、操作前コールバックルーチンと同じスレッドコンテキストで呼び出されます。
作成後コールバックルーチンは、IRP_MJ_CREATE 操作を開始したスレッドのコンテキストで、IRQL = PASSIVE_LEVEL で呼び出されます。

フィルターマネージャーが特定の I/O 操作に対してミニフィルタードライバーの操作後コールバックルーチンを呼び出すと、ミニフィルタードライバーは I/O 操作を一時的に制御します。ミニフィルタードライバーは、次のいずれかの操作を行うまで、このコントロールを保持します。