Android Binder 图文解释和驱动源码分析

前言

最近在学习Binder，之前都是跳过相关细节，通过阅读文章对Binder有了一些认识，但是并没有真正理解Binder。如果要深入理解Framework的代码，就必须要真正理解Binder。

我学习Binder的方法：

一边阅读Gityuan的Binder系列文章，一边调试阅读Binder相关代码来验证自己的理解。对于AOSP 非内核层的代码调试，网上已经有很多文章说明。但是Binder核心是在Binder驱动，就不好直接调试了。不过Binder提供详尽的调试日志开关，通过控制这些开关我们就可以让Binder打印调试日志，从而可以观察Binder驱动的运行。具体如何使用Binder驱动的调试开关，可以阅读Gityuran的Binder子系统之调试分析系列文章。我这里分析阅读的是Android 11的Binder代码，与Gityuan中的Android 6.0代码还是有出入的，但是总体流程是没有差别。

一定要配合源码边调试边阅读，除了Binder驱动层，能直接调试的尽量直接调试。 由于已经有了Gityuan大神的系列文章了，所以我对这篇文章的定位主要是补充和更新的作用。如果对驱动层代码感兴趣可以Clone我下面分享的带注释的Binder驱动源码来阅读理解。

一、跨进程通讯的过程

这里用AIDL跨进程通讯进行举例。让大家对Binder跨进程有个整体的认识，然后再根据时序图研究具体的实现代码

1. AIDL客户端代码

com.kevin.lab.IPersonManager.Stub.Proxy#getPersonListSize

      @Override public int getPersonListSize(int arg) throws android.os.RemoteException{//用来存放要发送的数据android.os.Parcel _data = android.os.Parcel.obtain();//用来存放要接收的数据android.os.Parcel _reply = android.os.Parcel.obtain();int _result;try {//写入要发送的请求数据_data.writeInterfaceToken(DESCRIPTOR);_data.writeInt(arg);boolean _status = mRemote.transact(Stub.TRANSACTION_getPersonListSize, _data, _reply, 0);if (!_status && getDefaultImpl() != null) {return getDefaultImpl().getPersonListSize(arg);}//读取接收到的回复数据_reply.readException();_result = _reply.readInt();}finally {_reply.recycle();_data.recycle();}return _result;}

2. AIDL服务端代码

com.kevin.lab.IPersonManager.Stub#onTransact

    @Override public boolean onTransact(int code, android.os.Parcel data, android.os.Parcel reply, int flags) throws android.os.RemoteException{java.lang.String descriptor = DESCRIPTOR;switch (code){case INTERFACE_TRANSACTION:{reply.writeString(descriptor);return true;}case TRANSACTION_getPersonListSize:{//读取接收的请求数据data.enforceInterface(descriptor);int _arg0;_arg0 = data.readInt();int _result = this.getPersonListSize(_arg0);//写入要发送的回复数据reply.writeNoException();reply.writeInt(_result);return true;}default:{return super.onTransact(code, data, reply, flags);}}}

3. 通信过程

a. 发送请求时序图

b. 接收请求时序图

当服务端处理完请求后，就会将结果写入到Parcel reply中，然后通过Binder发送给客户端。这个过程类似客户端发送请求的过程，只是这里发送的不是请求，而是响应结果

二、Binder 驱动

1. 带注释的Binder驱动源码

由于Binder驱动源码较多，如果一段一段放到博客，阅读起来体验非常糟糕，所以我将添加了注释的Binder驱动源码放到了下面的github仓库中，请Clone下来用VSCode打开然后根据时序图描述的执行过程阅读。

Github：aosp_source_code_annotation

2. 发送数据的封装

binder驱动接收到的是binder_write_read对象，而我们发送和接收请求是使用Parcel data和Parcel reply。这里再贴一次AIDL客户端发送代码，便于与下面的关系图对照理解

发送示例代码：

com.kevin.lab.IPersonManager.Stub.Proxy#getPersonListSize

      @Override public int getPersonListSize(int arg) throws android.os.RemoteException{//用来存放要发送的数据，对应下图中的Parcel dataandroid.os.Parcel _data = android.os.Parcel.obtain();//用来存放要接收的数据，对应下图中的Parcel replyandroid.os.Parcel _reply = android.os.Parcel.obtain();int _result;try {//写入要发送的请求数据_data.writeInterfaceToken(DESCRIPTOR);_data.writeInt(arg);boolean _status = mRemote.transact(Stub.TRANSACTION_getPersonListSize, _data, _reply, 0);if (!_status && getDefaultImpl() != null) {return getDefaultImpl().getPersonListSize(arg);}//读取接收到的回复数据_reply.readException();_result = _reply.readInt();}finally {_reply.recycle();_data.recycle();}return _result;}

首先将Parcel data封装成binder_transaction_data，然后将binder_transaction_data写入到IPCThreadState的mOut中，接着将mOut和mIn封装成binder_write_read。通过ioctl系统调用传给Binder驱动。

当从ioctl返回后，mIn中就有了响应数据，但是此时还没有赋值给Parcel reply，这个时候需要从mIn中读取binder_transaction_data，然后将binder_transaction_data中的buffer，offsets等赋值给Parcel reply。注意这里的mData和mObjects都是指针，并没有二次拷贝。

3. Binder驱动中相关struct之间的关系和作用

4. Binder一次拷贝示意图

这里将驱动中实现一次拷贝的示意图绘制出来，可以对比上面的发送数据的封装中的图示对比分析。