macOS使用kevents监视新的分叉进程

如何解决macOS使用kevents监视新的分叉进程

我试图通过使用EVFILT_PROC pid监视launchd来监视所有使用Kevents新建的进程：

struct kevent ke = { 0 };
const pid_t pid_of_launchd = 1;
EV_SET(&ke,pid_of_launchd,EVFILT_PROC,EV_ENABLE | EV_ADD | EV_CLEAR,NOTE_FORK | NOTE_EXEC,NULL);

创建新进程时，我确实收到事件，但无法检索新进程的PID或名称：

struct kevent change = { 0 };
int next_event = kevent(kq,NULL,&change,1,NULL);
// change.ident always equal 1

有人遇到过这个吗？

谢谢！

解决方法

ident是事件的ID（序列号）。您应该检查特定于过滤器的数据（uint64_t）。