3. 系统调用表 (sys_call_table)

系统调用表是内核中一个核心跳转结构，它将每个系统调用号映射到对应的内核处理函数。当用户态程序通过 syscall 指令陷入内核时，内核根据 rax 寄存器中的系统调用号，在系统调用表中索引并调用相应的服务例程。本章将深入分析系统调用表的结构、定义位置以及初始化过程。

3.1 系统调用表的结构

在 x86-64 架构中，系统调用表本质上是一个函数指针数组。数组的索引就是系统调用号，数组元素是对应处理函数的地址。其核心数据结构定义如下：

// arch/x86/include/asm/syscall_table.h
typedef void (*sys_call_ptr_t)(void);

extern const sys_call_ptr_t sys_call_table[];

关键特性：

• 固定长度：数组大小由 __NR_syscall_max 决定，当前 x86-64 支持约 450 个系统调用。
• 只读属性：系统调用表在初始化后被标记为只读，防止恶意篡改。
• 稀疏填充：未使用的系统调用号位置填充 sys_ni_syscall（空操作函数），返回 -ENOSYS。

3.2 系统调用表的定义位置

系统调用表的具体定义位于 arch/x86/entry/syscall_64.c 文件中。该文件通过宏展开机制，将 SYSCALL_DEFINE 宏定义的函数自动收集到表中。

// arch/x86/entry/syscall_64.c (简化示意)
#include <asm/syscall_table.h>

#define __SYSCALL(nr, func) [nr] = (sys_call_ptr_t)func,
#define __SYSCALL_NI(nr)    [nr] = (sys_call_ptr_t)sys_ni_syscall,

const sys_call_ptr_t sys_call_table[__NR_syscall_max+1] = {
    /*
     * 0 - 100 系统调用
     */
    __SYSCALL(0,  sys_read)
    __SYSCALL(1,  sys_write)
    __SYSCALL(2,  sys_open)
    __SYSCALL(3,  sys_close)
    // ... 中间省略 ...
    __SYSCALL(59, sys_execve)
    __SYSCALL(60, sys_exit)
    // ... 更多系统调用 ...

    /*
     * 未使用的系统调用号填充为 sys_ni_syscall
     */
    [450 ... __NR_syscall_max] = (sys_call_ptr_t)sys_ni_syscall,
};

3.3 系统调用表的初始化

系统调用表的初始化分为两个阶段：编译时静态初始化和运行时只读保护。

运行时只读保护的关键代码路径：

// arch/x86/mm/init_64.c
void mark_rodata_ro(void)
{
    unsigned long start = (unsigned long)&__start_rodata;
    unsigned long end   = (unsigned long)&__end_rodata;

    // 将系统调用表所在段设置为只读
    set_memory_ro(start, (end - start) >> PAGE_SHIFT);
}

3.4 系统调用表结构示意图

下图展示了系统调用表在内存中的布局以及从用户态系统调用到内核处理函数的完整路径：

3.5 系统调用表的导出与模块访问

内核通过 EXPORT_SYMBOL 导出系统调用表，允许内核模块在初始化时动态替换或监控系统调用。但这一机制在现代内核中受到严格限制：

// arch/x86/entry/syscall_64.c
const sys_call_ptr_t sys_call_table[__NR_syscall_max+1] = {
    // ... 初始化 ...
};
EXPORT_SYMBOL_GPL(sys_call_table);  // 仅 GPL 模块可访问

3.6 系统调用表的关键特性总结