句柄与路径：从法老王名圈到文件描述符
在软件工程中，引用一个资源有两种根本不同的方式：
- 按名称引用（By Name）：层级化、人类可读、符号化，并且随时可能发生变化（易变的）。
- 按句柄引用（By Handle）：不透明、数字索引、基于权限能力（Capability），一旦获取即固定不变（不可变的）。
在 UNIX 与 Linux 操作系统中，这种分裂集中体现为**文件路径（File Path）与文件描述符（File Descriptor，简称 FD）**的差异：一个是诸如 /var/log/app.log 的字符串，另一个仅仅是进程内部的一个微小整数（如 int fd = 3）。
混淆这两者的区别，是计算机历史上大量严重安全漏洞（如 TOCTOU 竞争条件）、数据损坏和文件死锁的元凶。要彻底理解操作系统为什么要大费周章把“名字”和“句柄”解耦，我们需要把视线投向四千年前的古埃及王朝。
历史隐喻：法老王名圈 vs. 皇家御印戒指
在古埃及，法老作为神权与王权的化身，拥有两种截然不同的身份表达方式：
层级化且易受篡改的“名字”：
[ 公共建筑上的王名圈（Cartouche） ] ──► 极易被政敌凿毁、涂抹与篡改（记录抹杀刑）
直接且不可伪造的“句柄”：
[ 法老贴身的御印戒指（Signet Ring） ] ──► 直接执行国家政令、调拨粮草，与石碑改名无关
1. 王名圈（符号化的公共名字）
每一位法老登基后都拥有五个王名。其中最重要的两个名字（出生名与即位名）会被工匠雕刻在一个椭圆形的象形茧绳环内，这个环被称为王名圈（Cartouche），高悬于方尖碑、神庙巨塔和陵墓外墙之上。
然而，雕在石头上的名字是极度脆弱的。一旦新法老登基或政权更迭（例如图特摩斯三世抹去哈特谢普苏特的痕迹，或是阿蒙神官集团反扑阿肯那顿的宗教改革），统治者会派出浩浩荡荡的石匠大军，用凿子将前任法老的所有王名圈生生从石壁上铲掉（在罗马时代这被称为 Damnatio Memoriae，记录抹杀刑）。石壁依然耸立，但原本属于那个法老的名字被彻底除名或覆盖换成了别人的名字。
2. 御印戒指（直接操作的权力凭证）
当法老想要调拨粮仓、征发劳工或者签署停战条约时，官员们绝不会指着神庙墙壁上的石雕王名圈去证明命令的合法性。法老直接摘下大拇指上的御印戒指（Signet Ring），在潮湿的黏土公文或蜡封上用力一按。
这枚印章就是一个操作句柄（Capability Token）：谁手持御印，谁就拥有支配粮仓的绝对权限。御印的合法性根本不依赖神庙石壁上的王名圈是否被政敌磨平；它是一个直通国家暴力机器与金库的底层指针。
内核落地：路径解析 vs. 文件描述符表
Linux 内核虚拟文件系统（VFS）完美复刻了“王名圈”与“御印戒指”的权力二元论：
用户空间： 路径："/var/log/app.log" 文件描述符：3
│ │
▼（漫长的逐级路径解析） ▼（O(1) 数组直接寻址）
内核空间： 目录项缓存（dentry cache） 进程打开文件表（files_struct）
│ │
└──────────────┐ ┌──────────────┘
▼ ▼
内核打开文件对象（struct file）
│
▼
索引节点（struct inode）
│
▼
底层物理磁盘块 / 内存页面
路径：脆弱且昂贵的“王名圈”
路径（如 /etc/passwd）本质上只是一串由人类阅读的符号字符串。每次你在代码中使用路径时，内核都必须从根目录 / 开始，逐级向下查询目录项（dentry）与 inode，检查沿途每一层目录的执行权限（+x）。
更致命的是，路径与其背后的物理数据没有固定的绑定关系。在你查找路径的十微秒之间，另一个进程完全可以把这个文件 rename() 掉，或者悄悄塞进一个恶意符号链接（Symlink）。
文件描述符：直通资源的“御印”
当程序通过 open() 系统调用拿到文件描述符 fd = 3 时，内核已经在进程内部的打开文件表（files_struct）中为你刻好了专属的印章。
此时，fd = 3 直接指向内核中的 struct file，进而牢牢锁定了底层的 struct inode：
- 即便其他人删除了文件（
rm /var/log/app.log），你的进程依然可以通过fd = 3顺畅读写该文件，数据绝对不会丢失，直到你调用close(fd)； - 即便其他人修改了文件名，只要你握有
fd，你的每一次read()和write()都是O(1)的直接寻址，根本无需重新走一遍耗时的路径查找。
现实世界的血案：TOCTOU 竞争条件漏洞
在系统编程中，最经典的跨站攻击与权限提升往往来自于：先用“名字”校验，后用“名字”操作。这被称为 TOCTOU（Time-of-Check to Time-of-Use）漏洞。
致命的翻车代码
// 1. 检查阶段：用路径检查文件是否合法（只允许普通用户访问普通文件）
struct stat st;
stat("/tmp/cache.dat", &st);
if (st.st_uid != getuid()) {
return -EACCES; // 不是我的文件，拒绝！
}
// ─── 就在这里！黑客利用微秒级的空隙，将 /tmp/cache.dat 替换为指向 /etc/shadow 的软链接！ ───
// 2. 使用阶段：再次用路径打开
int fd = open("/tmp/cache.dat", O_RDWR); // 灾难降临：特权进程直接改写了系统密码文件！
write(fd, payload, len);
见招拆招：句柄防身术（以印防伪）
防范这种攻击的唯一真理是：永远不要信任两次名字；先用御印锁定实体，再校验印章背后的真实数据！
// 1. 一次性获取句柄，彻底锁定实体
int fd = open("/tmp/cache.dat", O_RDWR | O_NOFOLLOW);
// 2. 通过句柄进行校验（fstat 直接查询 inode，绝不受文件名篡改影响）
struct stat st;
fstat(fd, &st);
if (st.st_uid != getuid()) {
close(fd);
return -EACCES;
}
// 3. 安全操作
write(fd, payload, len);
现代 Linux 内核甚至更进一步，全面推行了以 openat()、openat2() 和目录文件描述符（Dirfd）为核心的 API：在多层目录遍历中完全杜绝使用全局绝对路径，全程以目录句柄为锚点，从根本上终结了符号链接越狱攻击。
总结：架构师的心智模型
无论是在古埃及的政权交替中，还是在现代 Linux 的内核调度中，自然规律从未改变：
名字是向公众展示的面具，充满了变数、欺骗与篡改；而句柄是系统内部的契约与信物，握紧句柄，你才真正握住了真实的物理世界。