系统调用是用户态与内核态安全交互的唯一可靠通道，需严格校验参数、检查返回值，避免耗时操作；驱动中必须使用copy_from/to_user处理用户内存，大数据宜用mmap零拷贝；/proc、/sys、netlink和ioctl各司其职，责任边界须清晰。
系统调用是协作的默认通道，也是最安全的起点
用户空间进程无法直接访问硬件或内核数据，必须通过系统调用（如 read()、write()、open()）触发 CPU 从用户态切换到内核态。这个过程不是“函数跳转”，而是由 CPU 硬件机制保障的特权级切换（Ring 3 → Ring 0），内核会严格校验参数合法性，防止越界或非法地址访问。
常见错误现象：read() 返回 -1 且 errno 为 EFAULT，说明传入的用户缓冲区指针无效（比如未分配、已释放或未对齐）；copy_to_user() 内部也会做同样检查，失败时返回非零值，驱动中若忽略该返回值，会导致用户读到全零或旧数据。
- 永远检查系统调用返回值，不要假设成功
- 避免在系统调用路径中做耗时操作（如大内存拷贝、睡眠），否则阻塞整个进程甚至影响调度公平性
- glibc 封装的库函数（如
fread()）内部可能多次调用read()，实际陷入内核次数比预期多，性能敏感场景建议用syscall()直接调用或批量处理
驱动开发中必须用 copy_from_user() 和 copy_to_user()
当编写字符设备驱动时，用户空间通过 read()/write() 传递数据，但内核不能直接解引用用户指针——因为那段虚拟地址在内核页表中无效，强行访问会触发 Oops。这两个函数是唯一被允许的安全桥梁，它们会临时切换页表上下文、处理缺页、校验地址范围，并返回实际未拷贝的字节数。
注意：copy_to_user() 的原型是 unsigned long copy_to_user(void __user *to, const void *from, unsigned long n)，其中 void __user * 是类型标记，提醒编译器和开发者：这不是普通指针。若误写成 void *，静态检查工具（如 sparse）会报错，运行时也可能因地址误判崩溃。
- 这两个函数不保证原子性：若中途被信号中断，会返回剩余字节数，驱动需自行重试或返回
-ERESTARTSYS - 不能在中断上下文（如硬中断处理函数）中调用，因其可能引发睡眠或页故障
- 大数据量传输时效率低，可考虑
mmap()替代（见下一条）
mmap() 实现零拷贝共享，但要求驱动配合实现 vm_ops
对于视频采集、DMA 缓冲区、GPU 显存等高频大块数据场景，反复调用 copy_to_user() 会造成严重性能瓶颈。mmap() 允许将内核分配的一段物理内存（如通过 dma_alloc_coherent()）直接映射进用户进程地址空间，用户程序像访问普通内存一样读写，完全绕过拷贝。
但这需要驱动在 file_operations 中提供 mmap 回调，并在其中设置 vma->vm_ops（如 my_vm_ops），尤其是 fault 或 map_pages 方法来绑定物理页帧。漏掉 vm_ops 或未正确设置 vma->vm_flags（如忘记加 VM_DONTEXPAND 防止用户 mremap 扩展），会导致 mmap() 失败并返回 ENOMEM 或静默数据错乱。
- 映射区域必须是物理连续内存（或 IOMMU 支持的连续虚拟地址），普通
kmalloc()分配的内存不可直接 mmap - 用户空间需用
MAP_SHARED标志，否则修改不会反映到内核侧（对设备寄存器/缓冲区通常无效） - 驱动需在
close()时同步释放映射内存，避免内核内存泄漏
/proc、/sys、netlink 是轻量交互的补充手段，各适用不同角色
不是所有交互都需要走文件 I/O 路径。/proc 适合暴露只读状态（如驱动统计信息），/sys 更强调设备属性与配置（如 /sys/class/mydev/power_state），二者都要求驱动实现 seq_file 或 sysfs_ops 接口，但无需处理复杂内存管理。
而 netlink 是唯一支持**内核主动发起通信**的机制，比如内核检测到设备热插拔，可通过 netlink socket 主动通知用户态 udev；用户态也可发控制消息给内核模块。相比 ioctl()，它天然支持异步、队列、多播，且不污染文件系统命名空间。
-
ioctl()适合设备专属控制命令（如设置采样率、触发自检），但命令号需全局唯一，建议用_IO/_IOR宏定义，避免 magic number 冲突 -
/proc文件默认无写权限，若需可写，必须显式实现write方法并做严格输入校验，否则易成提权入口 - netlink socket 需在内核中注册协议族（如
NETLINK_MYPROTO），用户态用socket(AF_NETLINK, ...)连接，端口号用pid标识，别混淆nl_pid和进程 PID
真正难的从来不是选哪种机制，而是判断哪一层该承担什么责任：用户空间负责逻辑组合与容错，内核空间守住硬件边界与并发安全。一旦在驱动里做字符串解析、JSON 解包或网络协议栈，就已越界；反过来，若用户程序自己管理 DMA 缓冲区生命周期，也大概率埋下内存踩踏隐患。
