Windows驱动编程基础（下）价值200

这门《Windows驱动编程基础（下）》承接的是上半部分的内核对象与IRP模型，进入的是驱动开发里真正会卡住人的环节：设备栈的层次关系、即插即用与电源管理的状态迁移、以及内核态下如何安全地做内存与同步操作。它不覆盖完整的WDK手册，而是把WDM框架下最常被用到的几个机制拆成可编译、可调试的最小单元。价值200的定价对应的是配套源码与工程文件，而不是视频时长——这一点从资料包的构成能看出来，重点在可运行的项目骨架，而不是纯讲解。

技术栈与编译环境的边界

课程围绕WDK + Visual Studio的经典组合展开，驱动模型以WDM为主，不涉及KMDF/UMDF的完整封装。这意味着你在资料里看到的是DriverEntry、AddDevice、DispatchPnP、DispatchPower这类入口函数的手写实现，而不是框架帮你生成的回调注册。对自学者来说，这个选择有利有弊：好处是你能看清IRP从I/O管理器到设备栈再到完成例程的完整流向，坏处是你需要自己处理设备对象的引用计数和IRP的完成语义，编译器不会替你兜底。

工程结构上，解决方案里通常按章节切分项目，每个项目是一个独立可加载的.sys，配合一个测试用的用户态控制台程序。这种一对一的结构方便对照：控制台发IOCTL，驱动在DispatchDeviceControl里收，断点打在分发函数上就能单步跟。如果你之前只看过视频没动过手，建议先把每个项目的编译输出路径和签名配置确认一遍，否则加载时会直接卡在测试签名或驱动签名强制上。

下部分重点覆盖的三个机制

• 设备栈与设备对象层次：物理设备对象PDO、功能设备对象FDO、过滤设备对象FilterDO的挂载顺序，以及AttachDeviceToDeviceStack对栈顶指针的影响。这部分决定了你的驱动是插在栈的哪一层，也决定了IRP会先经过谁。
• 即插即用与电源IRP：IRP_MJ_PNP下的IRP_MN_START_DEVICE、IRP_MN_REMOVE_DEVICE，以及IRP_MJ_POWER下的等待/唤醒序列。下部分会讲清楚为什么完成PnP IRP必须用IoCompleteRequest而不能直接返回STATUS_SUCCESS，以及电源状态迁移时队列该怎么挂起和恢复。
• 内核同步与内存：自旋锁、快速互斥、以及在DISPATCH_LEVEL下不能访问分页内存的约束。配套代码里通常有对ExAllocatePoolWithTag和Lookaside List的对比用例，方便你观察不同分配方式在负载下的差异。

可复用模块与对照实践方式

资料里最值得留下来的不是完整驱动，而是几个被抽出来的小模块：IOCTL编解码的缓冲区处理方法（METHOD_BUFFERED / METHOD_IN_DIRECT / METHOD_NEITHER各自的访问方式）、设备接口的GUID注册与符号链接创建、以及一个简易的环形日志缓冲。这几个模块单独拎出来可以塞进你自己的项目里，不需要把整门课重新走一遍。

对照实践的建议是：先跑通一个最小驱动，确认能加载、能打印、能卸载，再回头补IRP处理和同步。不要一上来就照着完整项目敲，因为WDM的初始化顺序错误往往不会在编译期报错，而是表现为蓝屏时你根本不知道是哪一步出的问题。配合WinDbg的双机调试或者虚拟机快照，能把每次崩溃定位到具体的IRP和栈帧。

自学路径与前置要求

学这门课之前，你应该已经能看懂C里的指针运算和结构体嵌套，知道IRQL的概念，并且在上部分里跟着写过至少一个能加载的Hello World驱动。如果连DriverEntry和Unload例程的关系都还没理清，直接进下部分会在设备栈那一章卡住。建议的路径是：先花时间把PnP状态机在纸上画一遍，再对照代码里的分发函数逐个标注，最后才去调电源管理的分支。

软考考证分类下挂着这门课，说明它同时也被当作考点资料使用。但驱动编程的考点和实际工程能力不完全重合，复习时可以把IRP结构、设备对象类型、同步机制这几块单独整理成笔记，面试或考试前快速过一遍即可。真正需要动手的地方是调试环境搭建和崩溃分析，这部分只能靠反复跑、反复断点来积累手感。