本文以虛擬設(shè)備vsim為例結(jié)合cdev、file_operations、open流程把 ioctl 從用戶(hù)空間到內(nèi)核空間的完整鏈路講清楚。適合驅(qū)動(dòng)入門(mén)和面試復(fù)習(xí)。一、為什么需要 ioctlread/write只能搬運(yùn)數(shù)據(jù)流無(wú)法表達(dá)控制語(yǔ)義。比如一個(gè)設(shè)備要復(fù)位設(shè)置工作模式讀寫(xiě)某個(gè)寄存器獲取設(shè)備狀態(tài)啟動(dòng)/停止采集這些都不是讀寫(xiě)數(shù)據(jù)流而是控制命令。Linux 提供了ioctl作為字符設(shè)備的控制通道。一句話定位ioctl是字符設(shè)備驅(qū)動(dòng)里除read/write之外的控制通道。二、ioctl 在整個(gè)鏈路里的位置回顧字符設(shè)備的 open 流程用戶(hù) open(/dev/vsim) - VFS 路徑解析dentry - inode - inode 是字符設(shè)備i_rdev major:minor - inode-i_fop def_chr_fops - chrdev_open 用 i_rdev 查 cdev_map - 找到 cdevfilp-f_op cdev-ops也就是 vsim_fops - 調(diào)用 vsim_fops.openopen之后filp-f_op已經(jīng)指向vsim_fops。用戶(hù)調(diào)用ioctl(fd, cmd, arg);內(nèi)核路徑是sys_ioctl - VFSfd - struct file *filp - filp-f_op-unlocked_ioctl(filp, cmd, arg) - vsim_ioctl關(guān)鍵點(diǎn)ioctl 不需要再查 cdev_map因?yàn)?open 時(shí)已經(jīng)通過(guò)chrdev_open把filp-f_op換成了vsim_fops。后面read/write/ioctl都直接走filp-f_op。三、file_operations 里怎么掛 ioctlstatic const struct file_operations vsim_fops { .owner THIS_MODULE, .open vsim_open, .release vsim_release, .read vsim_read, .write vsim_write, .unlocked_ioctl vsim_ioctl, .llseek no_llseek, };然后cdev_init(dev-cdev, vsim_fops); cdev_add(dev-cdev, devno, 1);這樣設(shè)備號(hào) → cdev → vsim_fops 就綁好了。用戶(hù) open 后ioctl 就會(huì)進(jìn)vsim_ioctl。注意unlocked_ioctl是現(xiàn)在的接口老接口是ioctl。unlocked意思是不再持有大內(nèi)核鎖 BKL并發(fā)保護(hù)要驅(qū)動(dòng)自己做。四、cmd 到底是什么4.1 cmd 是一個(gè) 32 位整數(shù)cmd不是結(jié)構(gòu)體就是一個(gè)unsigned int按位分成四段31 30 29 16 15 8 7 0 ------------------------------------------------------------- | dir | size | type | nr | | | 2位 | 14位 | 8位 | 8位 | | -------------------------------------------------------------段位數(shù)宏含義dir2_IOC_DIR方向size14_IOC_SIZE參數(shù)大小type8_IOC_TYPEmagicnr8_IOC_NR序號(hào)4.2 命令宏#define _IO(type, nr) _IOC(_IOC_NONE, type, nr, 0) #define _IOR(type, nr, size) _IOC(_IOC_READ, type, nr, sizeof(size)) #define _IOW(type, nr, size) _IOC(_IOC_WRITE, type, nr, sizeof(size)) #define _IOWR(type, nr, size) _IOC(_IOC_READ | _IOC_WRITE, type, nr, sizeof(size))宏方向含義_IO無(wú)數(shù)據(jù)純命令_IOR內(nèi)核 → 用戶(hù)用戶(hù)要讀數(shù)據(jù)_IOW用戶(hù) → 內(nèi)核用戶(hù)要寫(xiě)數(shù)據(jù)_IOWR雙向先 from 再 to4.3 dir 有四種不是兩種_IOC_DIR取出來(lái)是 2 位所以有 4 種取值值宏含義0_IOC_NONE無(wú)數(shù)據(jù)1_IOC_WRITE用戶(hù) → 內(nèi)核2_IOC_READ內(nèi)核 → 用戶(hù)3_IOC_READ | _IOC_WRITE雙向關(guān)鍵理解_IOC_READ/_IOC_WRITE是站在用戶(hù)空間角度定義的。_IOR用戶(hù)要讀 → 內(nèi)核copy_to_user把數(shù)據(jù)給用戶(hù)_IOW用戶(hù)要寫(xiě) → 內(nèi)核copy_from_user從用戶(hù)拿數(shù)據(jù)dir 是位掩碼判斷方向時(shí)要用而不是因?yàn)開(kāi)IOWR兩個(gè)位都置位。五、magic 和 nr 檢查在干什么重要糾正檢查 magic 和 nr不是 VFS 干的是驅(qū)動(dòng)自己干的。VFS 只負(fù)責(zé)把 cmd 原樣傳下來(lái)。5.1 magic 檢查#define VSIM_IOC_MAGIC v if (_IOC_TYPE(cmd) ! VSIM_IOC_MAGIC) return -ENOTTY;v的 ASCII 是 0x76。只要 cmd 的 type 段不等于 0x76就說(shuō)明這不是給我的命令。為什么需要 magic防止用戶(hù)寫(xiě)錯(cuò) fd把別的驅(qū)動(dòng)的命令傳進(jìn)來(lái)誤執(zhí)行。注意magic 是防御性檢查不是路由。路由靠 fd。區(qū)分哪個(gè)驅(qū)動(dòng)靠的是 open 時(shí)綁定的filp-f_op不是 cmd。5.2 nr 檢查if (_IOC_NR(cmd) VSIM_IOC_MAXNR) return -ENOTTY;_IOC_NR(cmd)取出 8 位的序號(hào)范圍 0~255。nr 的作用同一個(gè)驅(qū)動(dòng)內(nèi)部區(qū)分不同操作。三層分工層靠什么區(qū)分哪個(gè)驅(qū)動(dòng)fdopen 時(shí)已綁定 f_op驅(qū)動(dòng)內(nèi)哪個(gè)操作cmd 的 nr數(shù)據(jù)怎么傳cmd 的 dir arg 指針 copy_*_user六、用戶(hù)傳的reg內(nèi)核收到的arg這是最容易困惑的地方。6.1 兩邊函數(shù)原型不同用戶(hù)空間int ioctl(int fd, unsigned long request, ...);第三個(gè)參數(shù)是變參可以傳整數(shù)、傳指針。內(nèi)核空間long (*unlocked_ioctl)(struct file *filp, unsigned int cmd, unsigned long arg);第三個(gè)參數(shù)固定是unsigned long。6.2 關(guān)鍵差異用戶(hù)調(diào)用struct vsim_reg_arg reg; reg.reg 0; reg.value 0x12345678; ioctl(fd, VSIM_IOC_WRITE_REG, reg);傳的是reg本質(zhì)是用戶(hù)空間結(jié)構(gòu)體的地址。內(nèi)核收到的arg就是這個(gè)地址的數(shù)值類(lèi)型是unsigned long。用戶(hù)空間內(nèi)核空間寫(xiě)法regarg本質(zhì)用戶(hù)地址空間里的一個(gè)地址一個(gè)整數(shù)值等于那個(gè)地址類(lèi)型struct vsim_reg_arg *unsigned long能否直接訪問(wèn)內(nèi)容能reg.value不能arg只是個(gè)數(shù)字arg不是結(jié)構(gòu)體arg是結(jié)構(gòu)體在用戶(hù)空間的地址。6.3 一張圖說(shuō)清用戶(hù)空間 內(nèi)核空間 ------------------------- | struct vsim_reg_arg reg | | reg 0 | | value 0x12345678 | ------------------------- ^ | reg 0x7fff1234 | | ioctl(fd, cmd, reg) v ------------------ | unsigned long arg| | 0x7fff1234 | ------------------ | | copy_from_user v ------------------------- | struct vsim_reg_arg reg_arg | | reg 0 | | value 0x12345678 | -------------------------6.4 為什么不能直接解引用 arg錯(cuò)誤寫(xiě)法struct vsim_reg_arg *p (struct vsim_reg_arg *)arg; dev-regs[p-reg] p-value; // 錯(cuò)誤原因arg是用戶(hù)地址可能非法直接解引用會(huì) oops。用戶(hù)內(nèi)存可能被換出內(nèi)核態(tài)缺頁(yè)處理很危險(xiǎn)。有些架構(gòu)內(nèi)核根本訪問(wèn)不了用戶(hù)地址。安全隔離要求用copy_*_user。規(guī)范做法struct vsim_reg_arg reg_arg; if (copy_from_user(reg_arg, (void __user *)arg, sizeof(reg_arg))) return -EFAULT;七、copy_from_user / copy_to_user函數(shù)方向用在copy_from_user(dst_kernel, src_user, n)用戶(hù) → 內(nèi)核_IOW、_IOWR的輸入部分copy_to_user(dst_user, src_kernel, n)內(nèi)核 → 用戶(hù)_IOR、_IOWR的輸出部分返回值成功返回 0失敗返回未拷貝的字節(jié)數(shù)非 0。所以判斷寫(xiě)成if (copy_from_user(...))。__user是什么給編譯器看的注解表示這是用戶(hù)空間指針不是類(lèi)型。八、完整實(shí)現(xiàn)8.1 共享頭文件 vsim_ioctl.h#ifndef VSIM_IOCTL_H #define VSIM_IOCTL_H #include linux/ioctl.h #define VSIM_IOC_MAGIC v struct vsim_reg_arg { unsigned int reg; unsigned int value; }; #define VSIM_IOC_RESET _IO(VSIM_IOC_MAGIC, 0) #define VSIM_IOC_SET_MODE _IOW(VSIM_IOC_MAGIC, 1, unsigned int) #define VSIM_IOC_READ_REG _IOWR(VSIM_IOC_MAGIC, 2, struct vsim_reg_arg) #define VSIM_IOC_WRITE_REG _IOW(VSIM_IOC_MAGIC, 3, struct vsim_reg_arg) #define VSIM_IOC_MAXNR 3 #endif8.2 驅(qū)動(dòng)側(cè) vsim_ioctlstatic long vsim_ioctl(struct file *filp, unsigned int cmd, unsigned long arg) { struct vsim_dev *dev filp-private_data; struct vsim_reg_arg reg_arg; unsigned int mode; int ret 0; /* 1. 檢查 magic 和 nr */ if (_IOC_TYPE(cmd) ! VSIM_IOC_MAGIC) return -ENOTTY; if (_IOC_NR(cmd) VSIM_IOC_MAXNR) return -ENOTTY; /* 2. 檢查用戶(hù)指針 */ if (_IOC_DIR(cmd) _IOC_READ) { if (!access_ok((void __user *)arg, _IOC_SIZE(cmd))) return -EFAULT; } if (_IOC_DIR(cmd) _IOC_WRITE) { if (!access_ok((void __user *)arg, _IOC_SIZE(cmd))) return -EFAULT; } /* 3. 加鎖 */ if (mutex_lock_interruptible(dev-lock)) return -ERESTARTSYS; /* 4. 分發(fā)命令 */ switch (cmd) { case VSIM_IOC_RESET: dev-mode 0; dev-busy 0; break; case VSIM_IOC_SET_MODE: if (copy_from_user(mode, (void __user *)arg, sizeof(mode))) { ret -EFAULT; break; } if (mode VSIM_MODE_MAX) { ret -EINVAL; break; } dev-mode mode; break; case VSIM_IOC_READ_REG: if (copy_from_user(reg_arg, (void __user *)arg, sizeof(reg_arg))) { ret -EFAULT; break; } if (reg_arg.reg VSIM_REG_NR) { ret -EINVAL; break; } reg_arg.value dev-regs[reg_arg.reg]; if (copy_to_user((void __user *)arg, reg_arg, sizeof(reg_arg))) { ret -EFAULT; break; } break; case VSIM_IOC_WRITE_REG: if (copy_from_user(reg_arg, (void __user *)arg, sizeof(reg_arg))) { ret -EFAULT; break; } if (reg_arg.reg VSIM_REG_NR) { ret -EINVAL; break; } dev-regs[reg_arg.reg] reg_arg.value; break; default: ret -ENOTTY; break; } mutex_unlock(dev-lock); return ret; }8.3 用戶(hù)側(cè)驗(yàn)證#include stdio.h #include fcntl.h #include unistd.h #include sys/ioctl.h #include vsim_ioctl.h int main(void) { int fd open(/dev/vsim, O_RDWR); if (fd 0) { perror(open); return 1; } unsigned int mode 1; if (ioctl(fd, VSIM_IOC_SET_MODE, mode) 0) { perror(SET_MODE); close(fd); return 1; } struct vsim_reg_arg reg; reg.reg 0; reg.value 0x12345678; if (ioctl(fd, VSIM_IOC_WRITE_REG, reg) 0) { perror(WRITE_REG); close(fd); return 1; } reg.value 0; if (ioctl(fd, VSIM_IOC_READ_REG, reg) 0) { perror(READ_REG); close(fd); return 1; } printf(reg[%u] 0x%x\n, reg.reg, reg.value); close(fd); return 0; }編譯gcc -o test_vsim test_vsim.c sudo ./test_vsim九、骨架逐行拆解9.1 函數(shù)簽名static long vsim_ioctl(struct file *filp, unsigned int cmd, unsigned long arg)參數(shù)含義filpopen 時(shí)創(chuàng)建的文件對(duì)象含private_datacmd命令碼打包了 magic、nr、size、dirarg用戶(hù)傳的第三個(gè)參數(shù)本質(zhì)是unsigned long返回值必須是負(fù) errno成功返回 0。9.2 取私有數(shù)據(jù)struct vsim_dev *dev filp-private_data;private_data是struct file里的void *由驅(qū)動(dòng)在 open 時(shí)自己存static int vsim_open(struct inode *inode, struct file *filp) { struct vsim_dev *dev container_of(inode-i_cdev, struct vsim_dev, cdev); filp-private_data dev; return 0; }9.3 檢查 magic / nrif (_IOC_TYPE(cmd) ! VSIM_IOC_MAGIC) return -ENOTTY; if (_IOC_NR(cmd) VSIM_IOC_MAXNR) return -ENOTTY;-ENOTTY inappropriate ioctl for device表示命令不支持。參數(shù)值不合法才用-EINVAL。9.4 檢查用戶(hù)指針if (_IOC_DIR(cmd) _IOC_READ) { if (!access_ok((void __user *)arg, _IOC_SIZE(cmd))) return -EFAULT; } if (_IOC_DIR(cmd) _IOC_WRITE) { if (!access_ok((void __user *)arg, _IOC_SIZE(cmd))) return -EFAULT; }access_ok只做范圍檢查真正的檢查由copy_*_user做。用而不是因?yàn)開(kāi)IOWR兩個(gè)位都置位。9.5 加鎖if (mutex_lock_interruptible(dev-lock)) return -ERESTARTSYS;mutex_lock不可被信號(hào)打斷mutex_lock_interruptible可被信號(hào)打斷返回非 0進(jìn)程上下文的 ioctl 用可中斷版本用戶(hù)按 CtrlC 能退出。被打斷返回-ERESTARTSYSVFS 會(huì)轉(zhuǎn)成用戶(hù)可見(jiàn)的-EINTR。9.6 switch 分發(fā)每個(gè) case取數(shù)據(jù) → 檢查參數(shù) → 操作 → 回?cái)?shù)據(jù)。出錯(cuò)設(shè)ret用break而不是return因?yàn)楹竺嬉猰utex_unlock。9.7 統(tǒng)一解鎖返回mutex_unlock(dev-lock); return ret;保證所有路徑都走到這里鎖一定釋放。十、常見(jiàn)坑不要直接解引用用戶(hù)指針*(int *)arg 10; // 錯(cuò)誤 copy_to_user((void __user *)arg, val, sizeof(val)); // 正確方向搞反_IOR是內(nèi)核寫(xiě)回用戶(hù)_IOW是內(nèi)核從用戶(hù)讀入。判斷方向用不用_IOWR時(shí)兩個(gè)位都置位。返回值用負(fù) errno返回EINVAL是錯(cuò)的要返回-EINVAL。并發(fā)保護(hù)unlocked_ioctl無(wú) BKL必須自己加鎖。32/64 位兼容需要compat_ioctl可用compat_ptr_ioctl。命令碼沖突每個(gè)驅(qū)動(dòng)的 magic 盡量唯一nr 不要重復(fù)。十一、面試高頻考點(diǎn)問(wèn)題答案ioctl 走哪條路徑進(jìn)驅(qū)動(dòng)sys_ioctl - filp-f_op-unlocked_ioctlopen 時(shí)已綁定為什么不用 read/writeread/write 只搬數(shù)據(jù)流控制語(yǔ)義不清晰cmd 怎么組成dir(2) size(14) type(8) nr(8)用_IO/_IOR/_IOW/_IOWR生成dir 有幾種4 種_IOC_NONE、_IOC_WRITE、_IOC_READ、_IOC_READ|_IOC_WRITE誰(shuí)檢查 magic 和 nr驅(qū)動(dòng)自己VFS 只透?jìng)鱩agic 和 nr 的區(qū)別magic 區(qū)分驅(qū)動(dòng)nr 區(qū)分命令用戶(hù)傳的reg和內(nèi)核arg什么關(guān)系arg是用戶(hù)結(jié)構(gòu)體地址的數(shù)值類(lèi)型unsigned long用戶(hù)指針怎么處理必須copy_from_user/copy_to_userarg 什么時(shí)候是整數(shù)_IO時(shí)可直接(unsigned int)arg返回值規(guī)則成功 0失敗負(fù) errno為什么用mutex_lock_interruptible可被信號(hào)打斷用戶(hù)可 CtrlC 退出和 cdev 的關(guān)系cdev-ops就是file_operations里面掛unlocked_ioctl和 open 的關(guān)系open 時(shí)chrdev_open把filp-f_op換成vsim_fops十二、總結(jié)ioctl 的完整鏈路用戶(hù) ioctl(fd, cmd, arg) - fd 決定進(jìn)哪個(gè)驅(qū)動(dòng)open 時(shí)已綁定 filp-f_op - vsim_ioctl(filp, cmd, arg) - 檢查 magic是不是給我的 - 檢查 nr命令號(hào)范圍 - 檢查 dir 和指針決定 copy 方向 - mutex_lock_interruptible - switch(cmd) 分發(fā) - copy_from_user / copy_to_user - 操作 dev 狀態(tài) - mutex_unlock - return 0 或 -errno三層分工哪個(gè)驅(qū)動(dòng) → fd哪個(gè)操作 → cmd 的 nr數(shù)據(jù)怎么傳 → cmd 的 dir arg 指針 copy_*_user一句話總結(jié)ioctl 是字符設(shè)備的控制通道。用戶(hù)ioctl(fd, cmd, arg)→ VFS 通過(guò) fd 找到filp-f_op→ 調(diào)用unlocked_ioctl→ 驅(qū)動(dòng)檢查 magic/nr/指針 →switch分發(fā) →copy_*_user傳數(shù)據(jù) → 返回 0 或負(fù) errno。cmd是 32 位整數(shù)按位分段arg是用戶(hù)指針的數(shù)值不能直接解引用。參考宋寶華《Linux設(shè)備驅(qū)動(dòng)開(kāi)發(fā)詳解》第 6.3.5 節(jié)內(nèi)核源碼include/uapi/asm-generic/ioctl.h內(nèi)核源碼drivers/char/下的字符設(shè)備驅(qū)動(dòng)