由摄像头服务FrameServer启动学到的

最近有同事深入分析了沙箱中摄像头服务FrameServer的启动问题，分享说摄像头的启动是通过ETW事件来启动的，这个真是盲区，于是搜索学习了一番，记录在此：

Windows的服务一般认为是由Services.exe启动，它会读取注册表，根据服务的Type和Start属性来启动:

但是我们在FrameServer服务的下面发现了特别的内容,TriggerInfo:

在微软文档中搜索可以查到，原来服务还有这种触发式的启动方式！

A service can register to be started or stopped when a trigger event occurs. This eliminates the need for services to start when the system starts, or for services to poll or actively wait for an event; a service can start when it is needed, instead of starting automatically whether or not there is work to do. Examples of predefined trigger events include arrival of a device of a specified device interface class or availability of a particular firewall port. A service can also register for a custom trigger event generated by an Event Tracing for Windows (ETW) provider.

服务可以注册成当触发事件发生时启动和停止。它避免了必须在系统启动时启动服务，也不需服务去主动查询或等待某个事件。服务可以在需要时再启动，而不是有没有事儿做就自动启动。常见的预先定义的触发事件例子有：某种特定的设备接口类发生了设备接入，某个特别的防火墙端口的可用性等。服务也可以自定义一个由ETW提供者来产生的触发事件。

FrameServer完美的阐述了微软的上述理论！可以通过命令来展示一下FrameServer注册表中TriggerInfo所描述的信息：

从上图我们可以看到，FrameServer定义了5种触发事件，其中有两种是自定义的触发事件;5种事件都是触发服务启动。分别来说：

• 事件1: 网络事件，即通过RPC接口调用触发, bc90d167-9470-4139-a9ba-be0bbbf5b74d(Rpc interface event)；6DDFC7D1-7FCA-44EB-A279-E9988F4DB32B(RPC接口ID）
• 事件2: 自定义系统状态更改事件触发, 2d7a2816-0c5e-45fc-9ce7-570e5ecde9c9(自定义系统状态通知即WNF通知 )；75 10 bc a3 26 1d 90 41（0x41901d26a3bc1075, 知名的wnf状态通知 WNF_KSV_DEVICESTATE）
• 事件3: 自定义系统状态更新事件触发, 2d7a2816-0c5e-45fc-9ce7-570e5ecde9c9(自定义系统状态通知即WNF通知)；35 21 bc a3 2e 0f 8b 41 (0x418b0f2ea3bc2135, 知名WNF状态通知, WNF_CAM_CAMERA_ACCESS_CHANGED)
• 事件4: 设备接口到达通知(即Data Arrival), e5323777-f976-4f5b-9b55-b94699c46e44(KSCATEGORY_VIDEO_CAMERA【可从contentdeliverymanager.utilities.dll中查到】)
• 事件5: 设备接口到达通知, 24e552d7-6523-47f7-a647-d3465bf1f5ca(KSCATEGORY_SENSOR_CAMERA)

从Services.exe中ScGetTriggerInfo可以看到解析TriggerInfo的代码，解析后放在SERVICE_TRIGGER_INFO结构中(可看微软文档详细解析，内容较多)：

typedef struct _SERVICE_TRIGGER_INFO {
  DWORD            cTriggers;
  PSERVICE_TRIGGER pTriggers;
  PBYTE            pReserved;
} SERVICE_TRIGGER_INFO, *PSERVICE_TRIGGER_INFO;

ScRegisterForTriggerAction中会调用ScGetTriggerInfo获取TriggerInfo并调用
ScExtRegisterTriggerConsumer->ScExtpRegisterTriggers->
DabRegisterTriggerConsumer监听事件。在ScExtpTriggerArrived中处理事件发生后的操作，主要是ScExtpLaunchService和ScExtpStopService。