为何不导出驱动回调？驱动回调为何在DriverEntry存入DEVICE_OBJECT而非像DLL导出

1. 为何不导出驱动回调？ #

• 驱动回调的触发逻辑无需外部调用：内核驱动的回调（比如IRP处理、中断响应函数）大多由内核主动触发，而非供其他模块（用户态或其他驱动）直接调用，因此不需要通过导出表暴露地址。
• 内核安全层面的考量：导出函数会将函数地址暴露在符号表中，容易被恶意程序利用（如hook、内存篡改），增加驱动的攻击面。内核态环境对符号暴露有严格限制，避免不必要的风险。
• 驱动加载机制的特性：驱动通过DriverEntry完成初始化后，内核会基于驱动注册的设备对象、回调结构体来调度逻辑，不需要依赖导出表来定位函数入口。

2. 为何将回调存入DEVICE_OBJECT而非像DLL一样导出？ #

• 设备对象是驱动与内核交互的核心载体：每个DEVICE_OBJECT对应一个硬件或逻辑设备，回调函数（如IRP_MJ_CREATE、IRP_MJ_READ处理函数）与设备强绑定，将其存入DEVICE_OBJECT的DeviceExtension（自定义扩展区域）或内置函数指针成员中，内核处理该设备的请求时，能直接从设备对象获取对应回调，逻辑更清晰。
• 避免全局符号冲突：如果多个驱动导出同名回调函数，会引发全局符号冲突问题；而绑定到DEVICE_OBJECT后，每个设备的回调都是独立实例，互不干扰。
• 支持动态逻辑调整：驱动运行时可以根据设备状态动态修改或替换回调函数，而导出函数是静态的，加载后无法灵活变更。
• 符合内核驱动框架设计：不管是传统WDM还是现代WDF驱动模型，都是围绕设备对象组织回调逻辑，这是标准的内核交互方式，能保证与内核组件的兼容性。

内容的提问来源于stack exchange，提问作者beothunder