Windows驱动编程基础（上）价值150

如果你写过 C 语言，但对「内核态」这三个字心里没底；或者你已经能做应用层开发，却在排查蓝屏、驱动加载失败、设备无法识别这类问题时只能靠猜——这门课就是冲着这个缺口来的。Windows 驱动编程不是一门能靠背 API 名称混过去的技能，它卡住人的地方往往不是语法，而是对执行环境、内存规则、中断级别这些底层约束的陌生感。上半部分先把这些地基铺清楚，下面的内容帮你判断自己该不该从这里开始。

先确认你缺的是不是这一块

很多人学驱动是「跳级」学的：直接抄一份 WDM 或 WDF 的示例，改改硬件 ID，编译通过就以为会了。结果一遇到 IRP 处理顺序、派遣例程返回值不对、设备对象生命周期管理出错，就完全无从下手。上半部分要解决的核心问题就是：让你明白一段驱动代码在内核里到底经历了什么，而不是只记住要填哪几个回调函数。

如果你目前的状态是「能用工具查看设备树，但说不出驱动对象、设备对象、IRP 三者的关系」，那这门课正好补在这个位置上。反过来，如果你已经独立完成过完整的内核模块调试和签名部署，上半部分对你可能偏基础。

上半部分具体在讲什么

内容围绕 Windows 内核编程的基本构件展开，重点不在罗列 API，而在讲清楚约束条件。比如内核态与用户态的区别不只是「权限高」，而是地址空间、异常处理、可调用函数集都不一样；再比如分页内存与非分页内存的选择，直接决定你的代码能不能在 DISPATCH_LEVEL 上跑。这些判断点，才是驱动写出来稳定不稳定的分水岭。

另一个重点对象是 IRP 和派遣例程。应用层的一次 ReadFile、一次设备打开，到了内核里变成什么样的一串处理流程，为什么有的返回 STATUS_PENDING，有的必须同步完成——这些机制理解了，后面写实际功能才不会照猫画虎出错。

配套练习与笔记该怎么用

• 每讲完一个机制，先别急着往下看，自己动手把对应的最小驱动骨架编译一遍，确认能加载、能卸载，再回头对照讲解。
• 用调试器观察设备对象和驱动对象的引用计数变化。只读代码是看不出生命周期问题的，必须在调试器里看。
• 章节笔记建议按「机制—约束—常见错误」三栏整理，而不是抄 API 列表。驱动开发里踩过的坑比记住的函数名更值钱。
• 学完三四节后，尝试不看示例，凭记忆重写一遍派遣例程的基本框架，写完再对照。这一步能暴露你到底是真懂了还是眼熟。

看完你应该能回答这些问题

• 内核态代码为什么不能随便调用用户态的那些库函数？
• 什么情况下必须使用非分页内存，用错了会以什么形式报错？
• 一个 IRP 从应用层发起，到驱动处理完返回，中间大致经过哪些环节？
• 驱动对象和设备对象谁先创建、谁负责清理，引用计数弄错会导致什么现象？
• 驱动加载失败时，你会按什么顺序去排查，而不是重装系统？

这五个问题如果现在答不上来，说明你缺的正是上半部分覆盖的内容。如果大部分能答，但答得不完整、不确定，那也值得快速过一遍，把模糊的地方钉死。驱动编程的坑大多不是不会写，而是不知道自己哪里理解偏了。