如何让Delphi TService服务提前加载基础驱动程序？

针对你用Delphi TService类实现早启动服务、通过ZwLoadDriver加载仅写文件的极简驱动的需求，结合实际开发经验给出以下建议：

一、服务启动类型与加载组配置 #

• 服务StartType选择：将服务的StartType设为SERVICE_SYSTEM_START。这个启动类型会在系统初始化阶段、用户会话启动前运行，既能满足早加载需求，又比内核级的SERVICE_BOOT_START更稳妥（用户态服务无法使用后者）。
• 加载组设置：无需将服务加入System Reserved组——这个组是给内核核心驱动用的，用户态服务强行加入可能引发依赖冲突。如果需要指定组，System Base是更适合早启动用户态服务的加载组，大部分基础系统组件都在这个组，不会有依赖问题。

二、ZwLoadDriver核心注意事项 #

• 运行账户：确保服务以Local System账户运行（TService默认配置），ZwLoadDriver需要系统级权限，Local System是唯一能稳定满足需求的账户。
• 注册表路径准备：ZwLoadDriver需要传入驱动对应的注册表路径（如\Registry\Machine\System\CurrentControlSet\Services\YourMiniDriver），你需要提前将以下键值写入该路径：
  • Type：设为SERVICE_KERNEL_DRIVER（DWORD类型）
  • ImagePath：驱动文件的完整NT路径，比如\??\C:\Windows\System32\drivers\YourMiniDriver.sys（建议放在系统驱动目录，避免权限或路径找不到问题）

  无需设置Start键值，因为你是手动加载驱动，不依赖SCM自动启动

• 前置检查：在调用ZwLoadDriver前，先检查驱动文件是否存在于目标路径，避免因文件缺失导致加载失败；同时捕获返回的NTSTATUS错误码（如STATUS_IMAGE_ALREADY_LOADED、STATUS_OBJECT_NAME_NOT_FOUND），用TService的事件日志组件记录这些错误，方便排查。
• 卸载配对：在服务的OnStop事件中调用ZwUnloadDriver卸载驱动，确保服务停止时清理资源，避免驱动残留。

三、TService类适配要点 #

• 启动逻辑轻量化：在OnStart事件中仅执行驱动加载的核心逻辑，避免耗时操作——Windows对服务启动有默认30秒超时限制，超时会被系统强制终止。
• 禁用交互模式：将服务的Interactive属性设为False，早启动服务不允许与用户桌面交互，Windows Vista及以后版本对交互服务有严格限制，强行开启会导致服务启动失败。
• 日志记录：利用TService自带的EventLog组件记录服务启动、驱动加载/卸载的关键节点，出现问题时可通过事件查看器快速定位。

四、极简驱动实现注意事项 #

• 路径处理：驱动中写文件必须使用NT格式路径，比如\??\C:\Windows\Temp\DriverHello.log（\??\映射为用户态的Win32路径），不能用相对路径或普通Win32路径。
• IO同步：写文件时使用FILE_SYNCHRONOUS_IO_NONALERT标志，避免异步IO带来的复杂度，适合你的极简需求。
• 资源清理：如果驱动需要持续运行，务必在卸载函数中关闭文件句柄、释放所有分配的资源；如果只是启动时写一次日志就完成任务，DriverEntry中执行写操作后直接返回STATUS_SUCCESS即可，无需注册卸载函数。

五、测试与排查技巧 #

• 分步调试：先将服务设为SERVICE_DEMAND_START，手动启动服务调试，确认驱动加载成功、日志文件生成后，再改为SERVICE_SYSTEM_START做早启动测试。
• 日志排查：通过事件查看器的「Windows日志→应用程序」查看服务日志，通过「系统」日志查看驱动加载相关的系统报错。
• 状态查询：用命令sc queryex YourService查看服务的运行状态、进程ID，方便定位服务是否正常启动。

内容的提问来源于stack exchange，提问作者WayOfTheWright