1. 概論

inotify是Linux中用于監控文件系統變化的一個框架，不同于前一個框架dnotify, inotify可以實現基于inode的文件監控。也就是說監控對象不再局限于目錄，也包含了文件。不僅如此，在事件的通知方面，inotify擯棄了dnotify的信號方式，采用在文件系統的處理函數中放置hook函數的方式實現。

2. 用戶層

2.1 數據結構

在inotify中，對于一個文件或目錄的監控被稱為一個watch。 給某一個文件或目錄添加一個watch就表示要對該文件添加某一類型的監控。監控的類型由一個掩碼Mask表示，mask有：

IN_ACCESS ： 文件的讀操作

IN_ATTRIB ： 文件屬性變化

IN_CLOSE_WRITE ： 文件被關閉之前被寫

IN_CLOSE_NOWRITE ： 文件被關閉

IN_CREATE ： 新建文件

IN_DELETE ： 刪除文件

IN_MODIFY ： 修改文件

IN_MOVE_SELF ： 被監控的文件或者目錄被移動

IN_MOVED_FROM ： 文件從被監控的目錄中移出

IN_MOVED_TO ： 文件從被監控的目錄中移入

IN_OPEN ： 文件被打開

事件的類型有了，我們還需要一個結構體去表示一次事件， 在用戶空間，inotify使用inotify_event表示一個事件，每一個事件都有一個特定的身份標示wd, wd是一個整型變量。每一個事件都有一組事件類型與其關聯(IN_CREATE | IN_OPEN)。 事件中還應包含文件名。

struct inotify_event {

int wd;/* Watch descriptor */

uint32_t mask;/* Mask of events */

uint32_t cookie;/* Unique cookie associating related

events (for rename(2)) */

uint32_t len;/* Size of name field */

char name[];/* Optional null-terminated name */

};

2.2函數及inotify的使用

為了防止文件描述符fd的快速消耗，inotify提出了一個inotify instance(inotify實例)的概念。每一個inotify實例表示一個可讀寫的fd, 一個inotify實例鏈接有多個對于文件的watch。而函數inotify_init的工作就是生成一個inotify實例。

如何添加對于目標文件的watch呢？使用inotify_add_watch完成該任務，inotify_add_watch有三個參數，第一個參數是該watch所屬的實例的fd, 第二個參數是被監控的文件名，第三個參數要監控的事件類型。

有添加就有刪除, inotify_rm_watch(int fd, int wd)完成watch的刪除工作，類似的, fd表示實例，wd表示即將刪除的watch.

void handle_event(int fd){

for(;;){

int len =0;

char buf[BUFSIZE];

read(fd, buf, BUFSIZE);

int i =0;

char*p;

for(p = buf; p <(buf+len); p +=sizeof(struct inotify_event)+ even->len){

event =(struct inotify_event *)p;

if(event -> mask & IN_OPEN)

printf("IN_OPEN ");

}

}

}

int main(void){

int fd;

if((fd = inotify_init())<0){

perror("init error");

}

if(inotify_add_watch(fd,"/home", IN_OPEN|IN_DELETE)<0){

perror("add watch");

}

handle_event(fd);

return0;

}

從以上代碼可以看出，inotify的使用很簡單，由于一個inotify實例被抽象為一個文件，所以我們可以通過read函數直接讀取其中的事件。

#include

int inotify_init(void);int inotify_init1(int flags);

int inotify_add_watch(int fd,constchar*pathname,uint32_t mask);

int inotify_rm_watch(int fd,int wd);

3. 內核原理

3.1 hook函數

inotify通過在文件系統的操作函數(vfs_open, vfs_unlink等)中插入hook函數改變代碼的執行路徑，從而產生相應的事件。以下是一個hook函數的列表：

圖3-1 <圖片來自引用1>

下圖是sys_open函數的函數調用流程，可以看到sys_open函數調用的是fsnotify_open函數去處理open事件。

而fsnotify又調用inotify_dentry_parent_queue_event函數和inotify_inode_queue_event函數.

圖3-2

其中inotify_dentry_parent_queue_event本身也調用了inode_queue_event函數，只是參數不同罷了.

圖3-3

可見在inotify_dentry_parent_queue_event中，第一個參數變成了被監控目錄的父目錄的inode. 關于這兩個函數,我們先按下不表, 留待后文再說.

3.2 inotifyfs (inotify.c)

在內核中inotify被抽象為一個虛擬文件系統. 在inotifyfs的初始化函數中，完成了以下三件事：

初始化inotifyfs( 調用register_filesystem() , kern_mount() )

設置事件隊列的長度等

創建inotify_event和inotify_watch結構的slab緩存

圖3-5

3.3 數據結構

3.2.1. inotify_device

struct inotify_device：表示一個inotify實例(inotify instance).，在linux2.16.13中，inotify是以模塊的形式出現的，在module_init中會調用setup函數.

在inotify_device結構中保存有兩個鏈表頭部，一個事件鏈表，鏈表中保存的是該inotify實例上所有事件，另一個是watch鏈表，保存的是該實例上所有的watch.

struct inotify_device {

wait_queue_head_t wq; /* wait queue for i/o */

struct idr idr; /* idr mapping wd -> watch */

struct semaphore sem; /* protects this bad boy */

struct list_head events; /* list of queued events */

struct list_head watches; /* list of watches */

atomic_t count; /* reference count */

struct user_struct *user; /* user who opened this dev */

unsignedint queue_size; /* size of the queue (bytes) */

unsignedint event_count; /* number of pending events */

unsignedint max_events; /* maximum number of events */

u32 last_wd; /* the last wd allocated */

};

圖3-7

3.2.2 inotify_kernel_event

kernel_event結構封裝了一個用戶態的event結構, 代表相應文件產生的一次事件, 該結構鏈接在inotify_device中的events鏈表.

struct inotify_kernel_event {

struct inotify_event event;/* the user-space event */

struct list_head list;/* entry in inotify_device's list */

char *name;/* filename, if any */

};

3.2.2 inotify_watch

inotify_watch表示我們向文件添加一個監控. 他分別鏈接到兩個鏈表,一個鏈表頭在inode結構中, 另一個在inotify_device結構中.

struct inotify_watch {

struct list_head d_list;/* entry in inotify_device's list */

struct list_head i_list;/* entry in inde's list */

atomic_t count;/* reference count */

struct inotify_device *dev; /* associated device */

struct inode *inode;/* associated inode */

s32 wd; /* watch descriptor */

u32 mask; /* event mask for this watch */

};

3.3 深入api

接下來我以inotify的用戶接口為例, 帶大家深入探索一下這些函數究竟做了什么.

3.3.1 inotify_init

inotify_init函數的作用是給進程分配一個用于讀寫inotify事件緩沖區的一個fd.

圖3-8

3.3.2 inotify_add_watch

inotify_add_watch有三個參數, watch所屬的文件描述符,被監控的目標文件或者目錄的路徑, 事件掩碼.

究竟add_watch是怎樣的一個過程, 讓我們拭目以待.

圖3-9

3.4 事件究竟從何而來

上文提到, inotify在文件系統的每個文件操作函數中插入了一系列的鉤子函數, 由此inotify就可以記錄用戶對于文件的各種操作. 簡單粗暴有沒有 … …

其中一個主要的函數是 inotify_inode_queue_event, 該函數的主要功能是遍歷Inode的inotify_watches鏈表, 由watch為根, 找到掛在inotify_device上的事件, 并將事件插入事件隊列(inotify_dev_queue_event).

圖3-10

可以看到這個函數最終還是調用了inotify_dev_queue_event函數, inotify_dev_queue_event的主要功能是將生成事件并將其插入inotify_device結構的events鏈表.

總結

以上我以2.6.13版本的內核為例闡述了inotify框架的使用和原理. 本來打算是以最新版本內核為例的, 但是在4.15中, 內核合并dnotify inotify fanotify這三個框架并且抽象出一個新的接口fsnotify, 代碼改動較大, 不利于講解inotify的原理, 所以我選擇了第一次合并inotify的2.6.13內核.