macOS 使用 kevents 监控新的分叉进程

Question

我正在尝试通过使用launchd pid 监控EVFILT_PROC 来监控所有使用 Kevents 新创建的进程，即 1：

struct kevent ke = { 0 };
const pid_t pid_of_launchd = 1;
EV_SET(&ke, pid_of_launchd, EVFILT_PROC, EV_ENABLE | EV_ADD | EV_CLEAR, NOTE_FORK | NOTE_EXEC, 0, NULL);

当创建新进程时，我确实收到了事件，因为我无法检索新进程的 PID 或名称：

struct kevent change = { 0 };
int next_event = kevent(kq, NULL, 0, &change, 1, NULL);
// change.ident always equal 1

有人遇到过吗？

谢谢！

Answer 1

ident 是事件的 id（序列号）。您应该检查过滤器特定数据（uint64_t）。