如何在Windows内核模式下通过PCFLT_RELATED_OBJECTS获取文件MIME类型？

首先明确：Windows内核没有原生API能直接通过PCFLT_RELATED_OBJECTS或PFLT_CALLBACK_DATA拿到文件的MIME类型。原因很简单——MIME类型和文件的映射规则是用户态层面的东西，内核根本不维护这套数据（系统的MIME映射主要存在于注册表HKEY_CLASSES_ROOT或者用户态的mime数据库里）。

下面给你几个可行的替代思路：

1. 内核里自己维护扩展名-MIME映射表 #

把常见的扩展名和对应MIME类型做成硬编码的表（比如.docx对应application/vnd.openxmlformats-officedocument.wordprocessingml.document，.png对应image/png），然后从FLT_CALLBACK_DATA里拿到文件扩展名后直接查表。

• 优点：完全在内核完成，无用户态切换开销。
• 缺点：覆盖范围有限，没法处理系统里新增的自定义MIME映射，也搞不定无扩展名或者扩展名和实际文件类型不匹配的情况。

2. 内核+用户态配合，用缓存减少切换次数 #

如果必须用到系统完整的MIME规则，可以搞个缓存机制，尽量少切换到用户态：

• 内核里维护一个缓存哈希表，存已经查过的扩展名和对应的MIME类型。
• 碰到没缓存的扩展名时，通过内核通知事件（比如IoCreateNotificationEvent）或者自定义的驱动-用户态通信通道，让用户态进程调用FindMimeFromData或者读注册表拿映射结果。
• 用户态把结果返回给内核，更新缓存，后续再碰到相同扩展名直接用缓存。
• 优点：能利用系统完整的MIME规则，缓存到位后切换开销极低。

3. 内核解析文件头判断实际类型（替代MIME映射） #

如果你的需求是判断文件实际内容对应的类型，而不是扩展名映射的MIME，可以在内核里读文件头的特征码来判断：

• 比如JPEG文件头是FF D8，PNG是89 50 4E 47，通过FltReadFile读取文件开头几个字节，匹配特征后对应到MIME类型。
• 注意：要处理文件读取的权限问题，而且只读头几个字节，性能影响不大。

关于用户输入MIME类型的校验 #

如果你的应用是要接收用户输入的MIME类型，然后判断某个文件是否匹配这个类型，可以：

• 要么在内核拿到文件扩展名/文件头特征后，传给用户态和输入的MIME做映射匹配；
• 要么在内核的映射表里反向存MIME到扩展名/特征的对应关系，直接在内核完成校验。

内容的提问来源于stack exchange，提问作者anitarazafi