Linux下监测目录或文件的变化---inotify

  inotify是用来监视文件系统事件的机制，在linux 2.6.13内核中引入。该机制可以用来监视文件和目录，当文件或目录发生变化时，内核会将文件或目录的变化发送给inotify文件描述符，在应用层只需调用read()就可以读取这些事件，非常的方便。更好的是，inotify文件描述符还可以使用select、poll、epoll这些接口来监听，当有事件发生是，inotify文件描述符会可读。

 一、接口介绍

1、inotify_init()

  定义如下：

       #include <sys/inotify.h>

       int inotify_init(void);
       int inotify_init1(int flags);

  inotify_init()用来初始化一个新的inotify实例，并返回一个文件描述符。这个描述符在inotify_add_watch()中会用到，发生的事件也是从这个描述中读取。

  除了这个接口外，还有一个相同功能的接口inotify_init1()。inotify_init1()中多了一个参数flags，用来在初始化时设置inotify文件描述符的属性。flags中可以设置的标志有两个：IN_NONBLOCK和IN_CLOEXEC。这两个标志不难理解，前一个是用来将inotify文件描述设置为非阻塞状态，后一个是设置close-on-exec（FD_CLOEXEC）标志。通过使用这两个标志就避免在创建inotify文件描述后再调用fcntl()的消耗了，代码看起来也会简洁一些。

2、inotify_add_watch()

  定义如下：

       #include <sys/inotify.h>

       int inotify_add_watch(int fd, const char *pathname, uint32_t mask);

 其中fd是inotify文件描述符，inotify_init()的返回值；pathname是要监听的文件的路径；mask是指定要监视哪些事件，在后面具体介绍。

  inotify_add_watch()用于将要监视的文件或目录添加到inotify中，返回值是一个inotify标识，注意不要和inotify_init()的返回值搞混淆了。inotify_init()的返回值是在读取事件、注册监听文件时使用，而inotify_add_watch()的返回值用来判断返回的事件属于哪个监听的文件（后面介绍inotify_event结构时会看到），以及移除监听文件时使用。

  3、inotify_rm_watch()

  定义如下：

       #include <sys/inotify.h>

       int inotify_rm_watch(int fd, uint32_t wd);

  inotify_rm_watch()用于移除对某个文件的监听，其中fd是inotify文件描述符，由inotify_init()返回；wd是inotify标识，由inotify_add_watch()返回。

二、结构及事件介绍
  当有事件发生时，notify文件描述符会变为可读，调用read()可以读取发生的事件，事件的描述结构为inotify_event结构体，定义如下：

            struct inotify_event {
               int      wd;       /* Watch descriptor */
               uint32_t mask;     /* Mask of events */
               uint32_t cookie;   /* Unique cookie associating related
                                     events (for rename(2)) */
               uint32_t len;      /* Size of name field */
               char     name[];   /* Optional null-terminated name */
           };

  其中wd是inotify标识符，inotify_add_watch()的返回值；mask就是发生的事件掩码；cookie这个好像只在rename中使用，这里不关心；len是name的长度，包括空字符，name是引发事件的文件名，不包括路径。
  首先说明inotify_event的长度问题，从定义中可以看出name的长度是可变的，所以一个事件对应的长度应该是sizeof(struct inotify_event)+len。

  还有一个问题要特别说明，在read()的时候如果指定的缓冲区长度小于一个事件的长度（即sizeof(struct inotify_event)+len），这时内核会返回EINVAL错误。估计很多人都以为是ENOSPC错误，但是程序中实际会返回EINVAL错误，当然个人也以为返回ENOSPC会好一些。看了下2.6.32的内核代码，这个错误是在inotify_read()调用的get_one_event()函数中返回的，代码如下：

static struct fsnotify_event *get_one_event(struct fsnotify_group *group,
					    size_t count)
{
	size_t event_size = sizeof(struct inotify_event);
	struct fsnotify_event *event;

	if (fsnotify_notify_queue_is_empty(group))
		return NULL;

	event = fsnotify_peek_notify_event(group);

	if (event->name_len)
		event_size += roundup(event->name_len + 1, event_size);

	if (event_size > count)
		return ERR_PTR(-EINVAL);

	/* held the notification_mutex the whole time, so this is the
	 * same event we peeked above */
	fsnotify_remove_notify_event(group);

	return event;
}

   所以在调用read从inotify文件描述符读取事件时一定要保证你的缓冲区的大小至少为sizeof(struct inotify_event)+NAME_MAX+1，其中NAME_MAX是文件名的最大值，linux下默认为255.

  接下来介绍inotify中的事件，及mask的取值。下面的这些宏代表不同的事件，这些值在inotify_add_watch()中的mask参数和inotify_event结构中的mask成员中都可以使用，如下所示：

　　　　IN_ACCESS： 文件被访问

               IN_ATTRIB：元数据被改变，例如权限、时间戳、扩展属性、链接数、UID、GID等

              IN_CLOSE_WRITE：关闭打开写的文件

             IN_CLOSE_NOWRITE： 和IN_CLOSE_WRITE刚好相反，关闭不是打开写的文件