Windows底层过滤驱动开发必须使用WDK，虽支持C++子集但官方不推荐，主流实践采用C语言；因内核环境无CRT、禁用异常/RTTI/标准库、无自动构造函数调用，且要求C风格入口函数与内核API调用。
Windows底层过滤驱动不是C++能单独搞定的事——它本质是内核模式开发，必须用WDK（Windows Driver Kit），语言上虽支持C++子集，但绝大多数人实际只用C；强行用C++会踩一堆ABI、异常、RTTI、构造函数调用时机等坑，官方文档也明确不推荐。
为什么不能直接用普通C++项目写过滤驱动
普通Visual Studio C++项目默认链接用户态CRT、启用异常处理、生成带vtable的类对象，而内核环境没有堆管理器（不能用new/delete）、不支持C++异常、禁用浮点指令、不允许调用用户态API（如printf、std::string）。WDK构建系统（MSBuild + Driver.inf）会强制使用/kernel链接标志，并替换CRT为ntoskrnl.lib提供的极简接口。
- 所有入口函数必须是C风格：
DriverEntry、DriverUnload、FilterAttach等，不能是类成员函数 - 不能使用
std::vector、std::shared_ptr等标准库容器或智能指针 - 全局对象的构造函数在内核加载时不会被调用（
INIT段不执行C++初始化逻辑） - 调试输出只能用
KdPrint或DbgPrintEx，且需开启内核调试符号
正确起步：用WDK模板+C语言写Minifilter
Windows推荐用Minifilter框架（FltMgr.sys）开发文件系统过滤驱动，比旧式Legacy Filter更安全、易调试。WDK安装后自带minispy示例，路径通常是：C:\Program Files (x86)\Windows Kits\Samples.0.22621.0\filesystem\minispy。不要自己从零建工程。
直播话术巡检系统(Windows版) — 实时语音转写、关键词检测、场景自动切换、告警推送、大屏可视化。支持 Windows VB-Cable 虚拟声卡音频采集，阿里云 ASR 实时识别。一键启动脚本，自动安装环境。
- 必须用WDK指定版本的Visual Studio（如WDK 22621要求VS 2022 17.4+）
- 驱动签名是硬性要求：测试时可用
bcdedit /set testsigning on+ 签署测试证书；发布必须通过WHQL - 注册表项
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\YourFilter中Start值设为3（SERVICE_DEMAND_START）才可手动加载 - 加载命令是
fltmc load YourFilter，不是sc create；卸载用fltmc unload YourFilter
关键回调里怎么安全操作IRP和上下文
Minifilter通过FLT_REGISTRATION结构注册OperationRegistration数组，每个元素绑定一个PreOperationCallback和PostOperationCallback。这里最容易出错的是上下文管理与内存生命周期。
立即学习“C++免费学习笔记（深入）”；
-
FltAllocateContext分配的上下文必须在ContextCleanupCallback里显式释放，否则造成内核内存泄漏 - 不能在
PreOperation里修改FltObjects->FileObject或FltObjects->Instance的字段——它们是只读视图 - 想拦截/修改文件内容，得用
FltWriteFile或FltReadFile，但必须确保目标文件已打开且有对应权限，否则返回STATUS_ACCESS_DENIED - 所有字符串操作用
RtlInitUnicodeString+RtlCompareUnicodeString，别用std::wstring或strlen
真正难的不是编译通过，而是理解IRP完成路径、同步模型（fast I/O vs IRP）、以及如何在不导致死锁的前提下做异步重发。比如在PostCreate里调用FltGetFileNameInformation可能引发递归调用自身，必须检查FltObjects->Instance是否是本filter的实例再决定是否跳过。
