文件过滤驱动的开发(上)

最近看了不少网友问关于文件系统监视的问题，大概分2类
1种是需要开发一个后台程序，监视整个文件系统的变动。比如说文件的产生、修改、移动、删除、拷贝，一旦有动作发生，监视程序能得到文件名、地址,动作的类型。这种比较简单，使用FindFirstChangeNotification就可以，大概的方法就是写个while(1)来WaitForMultipleObjects这个的返回值,代码后面给出
第2种就是文件操作的拦截了 ;) 上一种是发生在操作完了以后的，这种就是每次操作之前先经过我同意啦 哈哈哈
先说一下实现思路，如果做这个东西，filemon肯定要知道的了，另外就是准备下载win2000 ifs sdk和win2000 DDK，当然driverstudio2.7也需要哦。本篇的(下)将会详细介绍这个的开发for win9x/winnt/win2k/winxp/win2003。


现在将1的代码写出来，可能有点bug你自己调:
FindFirstChangeNotification函数创建一个更改通知句柄并设置初始更改通知过滤条件.
当一个在指定目录或子目录下发生的更改符合过滤条件时，等待通知句柄则成功。
原型为：
HANDLE FindFirstChangeNotification(
LPCTSTR lpPathName, //目录
BOOL bWatchSubtree, // 选项
DWORD dwNotifyFilter // 过滤条件
);

当下列情况之一发生时，WaitForMultipleObjects函数返回
1.一个或者全部指定的对象在信号状态(signaled state)
2.到达超时间隔

代码如下：
DWORD dwWaitStatus;
HANDLE dwChangeHandles[2];

//监视C:/WINDOWS目录下的文件创建和删除

dwChangeHandles[0] = FindFirstChangeNotification(
"C://WINDOWS", // directory to watch
FALSE, // do not watch the subtree
FILE_NOTIFY_CHANGE_FILE_NAME); // watch file name changes

if (dwChangeHandles[0] == INVALID_HANDLE_VALUE)
ExitProcess(GetLastError());

//监视C:/下子目录树的文件创建和删除

dwChangeHandles[1] = FindFirstChangeNotification(
"C://", // directory to watch
TRUE, // watch the subtree
FILE_NOTIFY_CHANGE_DIR_NAME); // watch dir. name changes

if (dwChangeHandles[1] == INVALID_HANDLE_VALUE)
ExitProcess(GetLastError());

// Change notification is set. Now wait on both notification
// handles and refresh accordingly.

while (1)
{

// Wait for notification.

dwWaitStatus = WaitForMultipleObjects(2, dwChangeHandles,FALSE, INFINITE);

switch (dwWaitStatus)
{
case WAIT_OBJECT_0:

//在C:/WINDOWS目录中创建或删除文件 。
//刷新该目录及重启更改通知(change notification).

AfxMessageBox("刷新目录");
if ( FindNextChangeNotification(dwChangeHandles[0]) == FALSE )
ExitProcess(GetLastError());
break;

case WAIT_OBJECT_0 + 1:
//在C:/WINDOWS目录中创建或删除文件 。
//刷新该目录树及重启更改通知(change notification).

AfxMessageBox("刷新目录树");
if (FindNextChangeNotification(dwChangeHandles[1]) == FALSE)
ExitProcess(GetLastError());
break;

default:
ExitProcess(GetLastError());
}
}