Comment puis-je recevoir des notifications sur la lecture d'un fichier sous OS X?

Question

J'ai un logiciel qui fonctionne sous Windows. Le logiciel a deux composants: un pilote de minifiltre de système de fichiers qui fonctionne en mode noyau et un composant en mode utilisateur qui communique avec le pilote. Le pilote reçoit des notifications sur les demandes d'interruption d'E/S, telles que IRP_MJ_READ. Un exemple d'application qui fait cela peut être trouvé sur github. Cela fonctionne pour tous les utilisateurs et la plupart des systèmes de fichiers pris en charge par Windows.

Je dois développer un logiciel similaire pour OS X (bureau et serveur uniquement). Ce que je regardé:

• FSEvent
• Kernel Queues
• API de table d'appel système d'accrochage/détournement d'avion
• kprobe
• fanotify

Mes réservations sont: FSEvents peuvent ne pas être très performant , comme je dois surveiller le dossier racine / un d tous les appareils montés. J'ai une compréhension très limitée des files d'attente du noyau et des syscalls Le détournement de l'API peut rendre très difficile le portage vers différentes versions d'OS X et peut provoquer des conflits avec la protection AV ou OS (comme le durcissement PaX).

Question: comment puis-je obtenir des notifications qu'un fichier dans un dossier (récursive) dans la racine / est lu par tout utilisateur sur OS X?

Answer 1

Avec une extension de noyau, Kernel Authorization fournit le File Operation Scope, vous permettant de surveiller l'action KAUTH_FILEOP_OPEN pour tous les vnodes.

L'action KAUTH_FILEOP_OPEN sera appelée avant l'accès à tous les fichiers, vous permettant ainsi de surveiller l'accès aux fichiers.

Si vous voulez une plus grande granularité des actions, le VNode scope fournit un ensemble plus large d'actions, y compris KAUTH_VNODE_READ_DATA, mais sachez que ce champ peut être très bruyant, ce qui déclenche un très grand nombre d'actions à un moment donné.

Exemple de code pour une telle extension du noyau se trouve dans Singh Mac OS X Internals

Answer 2

Il n'y a rien de mal avec les performances de FSEvents; Si vous utilisez Spotlight et/ou Time Machine, il fonctionne déjà sur votre système. Je serais très surpris s'il y avait un moyen plus efficace de le réimplémenter à partir de zéro. Donc, si cela répond à vos exigences de toutes les façons, j'irais avec ça.