遍历NTFS变更日志时文件名显示为空的问题求助

可能原因1：部分USN变更记录本身不含文件名 #

NTFS变更日志的部分记录类型（如文件元数据修改、属性变更、磁盘空间分配类操作）对应的USN_RECORD确实不会携带文件名，这类情况属于正常行为。你可以通过检查记录的Reason字段（对应USN_REASON_*系列常量）来判断变更类型，比如USN_REASON_ATTRIBUTE_CHANGE、USN_REASON_DATA_EXTEND这类操作的记录通常没有文件名。

可能原因2：USN_RECORD版本匹配错误 #

虽然你设置了主版本号为16x，但Windows 10环境下实际生效的USN_RECORD版本通常是V3（主版本号10）。如果结构体定义或版本判断逻辑错误，可能导致对FilenameOffset的解析偏差，即使调试显示Offset为0，也可能指向了错误的内存区域。建议确认代码中是否正确根据MajorVersion和MinorVersion选择对应的USN_RECORD结构体（如USN_RECORD_V3）。

可能原因3：记录遍历逻辑错误 #

如果遍历变更日志缓冲区时，没有正确使用当前记录的RecordLength来移动指针，会导致解析到错误的内存区域，出现空文件名的情况。请检查代码中是否严格按照以下逻辑遍历：

PUSN_RECORD pUsnRecord = (PUSN_RECORD) pBuffer;
while (pUsnRecord->RecordLength <= dwBytesReturned) {
    // 处理当前记录
    pUsnRecord = (PUSN_RECORD)((PCHAR)pUsnRecord + pUsnRecord->RecordLength);
    dwBytesReturned -= pUsnRecord->RecordLength;
}

排查步骤 #

1. 输出每条记录的Reason字段值，对应官方定义的USN_REASON常量，确认空文件名的记录属于哪种变更类型；
2. 使用fsutil usn readdata <文件路径>命令对比输出，验证目标文件的USN记录是否包含文件名，排除记录本身的问题；
3. 检查代码中USN_RECORD的版本判断逻辑，确保针对Windows 10使用正确的结构体版本。

内容的提问来源于stack exchange，提问作者Dean Knight