一、函数多线程的安全问题
函数多线程安全指的是，当一个函数在被调用但尚未返回时，如果被其他线程再次调用，其执行结果仍然是可靠的。
在用户层编写多线程程序时，我们通常会关注同步问题，以确保线程安全。同样地，在内核中也需要注意以下几点：
可能在多线程环境中运行的函数必须保证线程安全。如果运行在单线程环境中，则不需要考虑线程安全性，因为没有其他线程操作。
如果函数A调用函数B，函数B调用函数C，且A和B都运行在同一单线程中，那么C也应保证运行在单线程中。
如果函数A调用函数B，函数B调用函数C，且B和C可能在多线程环境中运行，那么A也可能在多线程环境中运行。因为A会调用B和C，所以B和C在多线程环境中运行。
如果函数A调用函数B，函数B调用函数C，且B运行在多线程环境中，那么需要采取多线程序列化为单线程的强制措施，使得函数B在单线程中运行。
内核中的“多线程序列化为单线程的强制措施”包括互斥体和自旋锁。
只使用函数内部资源，不使用全局变量、静态变量或其他全局性资源的函数是多线程安全的。
如果使用全局变量、静态变量等，那么需要使用同步函数来进行同步。
二、中断级别
这篇博客主要讨论了理论和需要注意的问题。在内核中，Kernel API有中断级别之分。
在用户层，代码都是同级别运行，因此不需要关心中断级别，但在Kernel内核中，必须关注中断级别，否则可能会导致持续的问题。
目前，中断级别有两个：
- Passive级别。
- Dispatch级别。
关于这两种级别，内核博客的前两课有简单介绍其本质。我们只需注意这两种级别的区别即可。
简单的函数运行在Dispatch级别中。因此，在调用任何Kernel API之前，都需要查询一下中断级别。
Dispatch级别比Passive级别高。
如何判断中断级别？
- 调用路径：A -> B -> C，那么C的调用路径就是A和B，因为是一条线。
- 调用源：A -> B -> C，那么一次递推到A，那么C的调用源就是A。
判断规则：
- 如果调用路径上没有特殊情况（导致中断级别提高或降低的情况），那么函数执行时的中断级别与其调用源级别相同。
- 如果调用路径上有获取自旋锁，则中断级别随之提高；如果有释放自旋锁，则中断级别降低。
内核中的中断级别：
| 调用源 | 级别 |
|---|---|
| DriverEntry | Passive级别 |
| DriverUnload | Passive级别 |
| 各种分发函数 | Passive级别 |
| 完成函数 | Dispatch级别 |
| 各种NDIS回调函数 | Dispatch级别 |
查询Kernel API时，会发现有说明该API在什么级别使用。
例如：
可以看到中断级别是...
疑问？
如果当前代码运行在DISPATCH级别，但必须调用PASSIVE级别的API，该怎么办？可以利用内核API降低当前中断级别吗？
答：
不可以。Windows代码都是在规范的级别上运行的，任意降低或提高都会影响代码的执行。因此，在需要调用这种API时，可以创建一个专门的线程来执行PASSIVE级别的代码。
解决方法很多，可以在网络上搜索相关资料。博主也是自学，所以暂时还没有接触到更多方法。
三、内核中宏代码代表的意思
在内核中查看API时，可以看到许多宏，这些宏都是空宏，用于说明。
例如：
- IN：表示这个参数是传递进去的。
- OUT：表示这个参数是传出参数。
例如：
__in_bcount(StatusBuffsize) IN PVOID statusBuffer;
这里的参数表示statusBuffer的大小依赖于StatusBuffsize这个参数来指定。
四、指定函数位置的预编译指令
这个小主题本来可以放在第三个问题中，但单独说明更重要。
#pragma alloc_text()
这个宏表示我们的函数的可执行代码编译出来之后在.sys文件中的位置。
.sys文件本质上是PE文件，PE文件有段和节，不同的节加载到内存中会有不同的处理情况。我们需要关注的有三种：
- INIT节：这个节的特点是初始化完毕后就会释放，不再占用内存空间。
- PAGE节：这个节的特点是可以进行分页交换的内存空间，即内存不够时可以临时放到磁盘上。
- PAGELK节：这是默认的节，如果不指定代码放在哪里，就会放在这个节中。特点是不能进行内存交换，即不可以和磁盘交互。
我们可以指定我们的代码放到哪个节中。
例如，入口函数只会调用一次，可以放到INIT节中，这样初始化完后就不占用内核内存，因为内核内存是共享的，用完就没了。
例如：
#pragma alloc_text(INIT,DriverEntry)
注意的问题：
如果将函数放入PAGE节中，代表该函数运行中可以放到磁盘上，这样会产生缺页中断。因此，放到PAGE节中的函数不能调用DISPATCH级别的函数。
