macos - 如何在 OSX 中监视文件打开和文件读取事件

Question

我研究了File System Events和 Kernel Queues以确定如何监视事件。不幸的是，这些只允许在修改、重命名或删除事件(更新状态的事件)时通知。我需要在文件打开或文件读取事件(对于当前用户)时获得回调。我了解没有适当权限的文件的事件将无法访问。

任何指示都会有所帮助。

注意:DTrace 是不可能的，因为系统完整性保护会禁用 DTrace，而且我没有禁用系统完整性保护的选项

Answer 1

在 macOS >=10.11

在 macOS >= 11 中，您可以使用 Endpoint Security System Extension。参见 Apple Docs和“使用 Endpoint Security 监控系统事件”的“AUTH”版本 Apple sample code .

---

在 macOS 10.4-10.10 中

在 macOS 10.4-10.10 中，使用 Kernel Extension 使用 Kernel Authorization。参见 archived Apple docs还有这个Apple sample code .