minifilter驱动必须用wdk编译，依赖fltmgr.sys及wdk头文件库；需正确初始化flt_registration（尤其operationregistration）、规范使用fltallocatecontext/fltreleasecontext、通过kdprint调试并严格满足irql要求。
MiniFilter 驱动必须用 WDK 编译，不能用普通 Visual Studio C++ 项目
Windows 文件系统过滤驱动（MiniFilter）本质是内核模式驱动，依赖 FltMgr.sys 和 WDK 提供的 fltkernel.h、fltuser.h 等头文件及库。用常规 Win32 C++ 项目或 MSVC 默认配置编译会直接报错：unresolved external symbol FltRegisterFilter 或 error C2065: 'PFLT_FILTER' : undeclared identifier。
实操建议：
- 安装对应 Windows 版本的 WDK（如 Win11 对应 WDK 22H2），并使用 WDK 提供的
Build Environments命令行（如WDK x64 Desktop Build Environment） - 项目结构必须含
sources文件（定义TARGETNAME、TARGETTYPE=DRIVER、MSC_WARNING_LEVEL=/W4）和makefile - 入口函数必须是
DriverEntry，且调用FltRegisterFilter；卸载逻辑必须在FilterUnload回调中完成FltUnregisterFilter - 不要尝试在用户态进程里加载或调试 MiniFilter —— 它只能由
sc create+sc start或 INF 安装后由系统加载
注册回调时漏掉 FLT_REGISTRATION 的 OperationRegistration 字段就收不到任何 IRP
很多新手写完 DriverEntry 后发现：驱动能加载成功，但文件操作完全没触发回调。问题常出在 FLT_REGISTRATION 结构体初始化不完整 —— 尤其是 OperationRegistration 字段为 NULL 或指向空数组。
实操建议：
-
OperationRegistration必须是非空指针，即使只监听一个操作（如IRP_MJ_CREATE），也要声明长度为 2 的数组（末尾用{0}终止） - 每个条目需指定
MajorFunction（如IRP_MJ_CREATE）、Flags（如FLTFL_OPERATION_REGISTRATION_SKIP_PAGING_IO）、PreOperation和/或PostOperation回调函数指针 - 注意：MiniFilter 默认不拦截分页 IO（
PagingIo），若需监控内存映射文件创建，必须显式设置FLTFL_OPERATION_REGISTRATION_DO_NOT_DISALLOW_FAST_IO并处理FastIo路径，否则会漏掉大量访问
在 PreOperation 回调里修改 FileObject 或返回 FLT_PREOP_SUCCESS_WITH_CALLBACK 后忘记配对清理
常见错误现象：驱动运行几分钟后蓝屏，错误码多为 IRQL_NOT_LESS_OR_EQUAL 或 ATTEMPTED_WRITE_TO_READONLY_MEMORY。根源往往是 PreOperation 中对 FltObjects->FileObject 做了非法修改（如直接改 FileName），或用了 FLT_PREOP_SUCCESS_WITH_CALLBACK 却没在 PostOperation 中释放上下文。
实操建议：
- 不要直接修改
FileObject->FileName—— 正确做法是通过FltGetFileNameInformation+FltParseFileNameInformation获取路径，再用FltSetCallbackDataDirty标记需重写 - 若需在
PostOperation中访问PreOperation时申请的内存（如上下文结构），必须用FltAllocateContext分配，并在PostOperation中调用FltReleaseContext；否则引发内存泄漏或 UAF - 所有
FltAlloc*分配的内存，必须匹配FltFree*；内核栈空间极小，避免在回调中分配大缓冲区
调试 MiniFilter 必须用 WinDbg Kernel Debugger，用户态日志基本无效
用 OutputDebugString、printf 或写文件记录日志，在 MiniFilter 里要么完全看不到，要么导致系统卡死。因为驱动运行在 IRQL >= DISPATCH_LEVEL，且无用户态句柄权限。
实操建议：
- 启用内核调试：目标机开启
bcdedit /debug on+bcdedit /dbgsettings serial debugport:1 baudrate:115200，主机用 WinDbg Preview 连串口或网络 - 日志输出统一走
KdPrint（仅 DEBUG 版本生效），格式如KdPrint(("MyFilter: Create on %wZ\n", &fileNameInfo->Name))；发布版务必 #ifdef 包裹，否则影响性能 - 关键点加断点：在
DriverEntry、PreCreate入口下断，用lm确认驱动已加载，!fltkd.filters查看 MiniFilter 实例状态 - 注意：驱动卸载失败（
sc stop卡住）通常是因为还有未完成的 I/O 请求，此时用!fltkd.instances检查引用计数，别强行重启
MiniFilter 的复杂性不在语法，而在内核执行环境约束：IRQL、同步模型、内存生命周期、与 FltMgr 的协作契约。漏掉任意一条，轻则功能失效，重则系统崩溃。写完代码后第一件事不是测试功能，而是检查所有 Flt* 调用是否成对、所有分配是否释放、所有回调是否满足 IRQL 要求。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
