IRP_MJ_CREATE中判断：是新建文件还是打开文件-----疑问

截获到IRP_MJ_CREATE时,做如下判断

          CreateDisposition = (currentIrpStack->Parameters.Create.Options>> 24) & 0x000000ff;
          if(CreateDisposition == FILE_CREATE||
             CreateDisposition==FILE_OVERWRITE_IF||
             CreateDisposition==FILE_OPEN_IF||
             CreateDisposition==FILE_SUPERSEDE)
        {
              DbgPrint(("新建操作\n"));// 这里简单写了下
              ..................
       }
现在的疑问是：
  1.标志为FILE_CREATE时，是新建操作，这个没疑问
  2.标志为FILE_OVERWRITE_IF和FILE_OPEN_IF时：
     如果文件存在，则前者将文件打开且将其清空(相当于新建一个文件替换原来的）；后者则简单的打开文件
     如果文件不存在，则两者都会新建一个文件
  3.标志为FILE_SUPERSEDE还没有试过

由上感觉，要判断CREATE是不是新建，就必须去先判断该文件是否已经存在？？？？？？？？？

判断新建用 if(CreateDisposition==FILE_CREATE||CreateDisposition==FILE_OPEN_IF||CreateDisposition==FILE_OVERWRITE_IF) 条件应该就可以了。

引用第1楼wwg266543于2009-08-04 11:36发表的 :
判断新建用 if(CreateDisposition==FILE_CREATE||CreateDisposition==FILE_OPEN_IF||CreateDisposition==FILE_OVERWRITE_IF) 条件应该就可以了。

谢谢恢复，这个已经搞定了，对于FILE_OPEN_IF操作，也可能只是一个打开。我现在的处理方式是，用下面的函数去打开文件，查看其返回的状态，判断该文件是否存在
，然后决定本次是新建还是打开。这个方法，在前面的帖子里，有人用到过，我也是借鉴别人滴，测试还没发现问题

ntStatus = IoCreateFileSpecifyDeviceObjectHint(
  &hFile,
  FILE_READ_ATTRIBUTES,
  &FileOA,      
  &IoStatusBlock,            
  NULL,                    
  FILE_ATTRIBUTE_NORMAL,  
  FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE,  
  FILE_OPEN,              
  FILE_NON_DIRECTORY_FILE,
  NULL,                    
  0,                      
  CreateFileTypeNone,    
  NULL,                    
  IO_IGNORE_SHARE_ACCESS_CHECK,  
  hookExt->AttachedToDeviceObject  
  );

引用第2楼hell74111于2009-08-05 14:02发表的  :
 

谢谢恢复，这个已经搞定了，对于FILE_OPEN_IF操作，也可能只是一个打开。我现在的处理方式是，用下面的函数去打开文件，查看其返回的状态，判断该文件是否存在
，然后决定本次是新建还是打开。这个方法，在前面的帖子里，有人用到过，我也是借鉴别人滴，测试还没发现问题

.......