MFT参考号（FRN）是NTFS中每个文件/目录唯一的64位标识符，由MFT记录号（低48位）和序列号（高16位）组成，不随同卷内重命名或移动而改变，用于文件监控、去重及硬链接检测等场景。
什么是MFT参考号，为什么C++程序需要它
MFT参考号（也叫File Reference Number或FRN）是NTFS文件系统中每个文件/目录的唯一64位标识符，由$MFT中的记录编号和序列号拼接而成。它不随文件重命名、移动（同卷内）而改变，比路径或FindFirstFile返回的dwFileAttributes更稳定，常用于文件监控、去重、硬链接检测或与FSCTL_GET_OBJECT_ID等IOCTL配合使用。
用GetFileInformationByHandleEx获取FRN（Windows 8+）
这是最直接、无需驱动的方式，但仅支持Windows 8及以上版本。关键点在于使用FileInternalInformation信息类：
-
GetFileInformationByHandleEx必须传入已打开的句柄（只读即可），不能对路径直接调用 - 结构体
FILE_INTERNAL_INFORMATION的IndexNumber字段就是完整的64位FRN（低48位为MFT记录号，高16位为序列号） - 句柄需至少拥有
FILE_READ_ATTRIBUTES权限；若用CreateFile打开，记得加FILE_FLAG_BACKUP_SEMANTICS才能打开目录
HANDLE h = CreateFile(L"C:\test.txt", FILE_READ_ATTRIBUTES, FILE_SHARE_READ, nullptr, OPEN_EXISTING, FILE_FLAG_BACKUP_SEMANTICS, nullptr);
if (h != INVALID_HANDLE_VALUE) {
FILE_INTERNAL_INFORMATION info = {};
if (GetFileInformationByHandleEx(h, FileInternalInformation, &info, sizeof(info))) {
// info.IndexNumber 就是MFT参考号
printf("FRN: 0x%016I64x
", info.IndexNumber);
}
CloseHandle(h);
}
兼容旧系统：用DeviceIoControl + FSCTL_GET_NTFS_FILE_RECORD
Windows 7及更早系统不支持FileInternalInformation，需走IOCTL。但注意：FSCTL_GET_NTFS_FILE_RECORD不是公开API，需要手动定义，且要求调用者有SE_BACKUP_NAME特权（通常需管理员权限）：
- 必须以
GENERIC_READ | GENERIC_WRITE打开卷设备（如\\.\C:），而非文件路径 - 需先用
GetFileInformationByHandle拿到文件在卷上的nFileIndexHigh/Low（即MFT记录号），再构造NTFS_FILE_RECORD_INPUT_BUFFER查询 - 微软未公开
NTFS_FILE_RECORD_INPUT_BUFFER结构，实际可参考WDK头文件或社区逆向定义；部分字段（如FileReferenceNumber）在响应中才有效 - 该IOCTL可能被某些杀软拦截，且不同Windows版本字段偏移略有差异
实践中，除非明确需要支持Win7且已获提权，否则优先用前一种方式。
立即学习“C++免费学习笔记（深入）”；
常见错误和绕不开的坑
FRN本身没有“获取失败”的标准错误码，但以下情况会导致结果不可靠：
- 传入的句柄来自重解析点（如符号链接、挂载点），返回的是目标文件的FRN，不是链接本身的——若要查链接自身，得用
FILE_ID_BOTH_DIR_INFO配合FindFirstFile并检查dwFileAttributes & FILE_ATTRIBUTE_REPARSE_POINT - 跨卷移动后FRN必然变化，但程序若缓存了旧FRN又没校验有效性，后续用它做
FSCTL_GET_OBJECT_ID查询会返回ERROR_FILE_NOT_FOUND - 某些备份软件或加密文件系统（如BitLocker启用时）可能让
IndexNumber返回全0，需额外判断info.IndexNumber == 0是否合理 - 不要试图把FRN当inode用——NTFS不保证FRN回收后不复用，长时间缓存需配合
USN Journal验证活跃性
真正麻烦的不是怎么取，而是取回来之后怎么安全地用：FRN只在单卷内有意义，且没有标准API能从FRN反查路径，一旦文件被删除，这个数字就彻底失去上下文。
