Windows何时将注册表更改写入磁盘？

TL; DR：

我注意到，如果我更改了注册表，然后硬关闭了Windows 10系统，则重新启动后不会出现注册表更改。

我还注意到，删除休眠文件可能会影响Linux恢复工具以脱机状态对Windows注册表进行更改的能力。删除休眠文件后，该工具似乎无法进行永久更改。我将在下面列出具体示例。

范例1：

• 我在“ HKLM \ SOFTWARE”中添加了一个名为“ 1111”的密钥。然后，我按住电源按钮5秒钟，以自动关闭电源。
• 
• 当我备份注册表时，该键及其值不见了：
• 
• （这些图像是出于格式化目的而编辑的）

范例2：

• 在注册表中进行更改（使用regedit）
• 休眠系统
• 引导至Linux恢复工具
• 删除休眠文件为了挂接磁盘。
• 阅读Windows注册表（通过恢复工具）
• 注册表更改不见了。

这似乎相当于硬关闭机器。

范例3：

我在以下情况下看到陌生人的行为：

• 休眠盒
• 引导至Linux恢复工具并删除休眠文件
• 更改注册表（通过恢复工具）
• 重新启动盒子

这些更改也不会反映在注册表中。

那么这是怎么回事？

• Windows 10何时将注册表更改写入磁盘？
• 为什么删除休眠文件（在示例3中）会阻止从恢复工具进行的注册表更改反映在下次启动时？

希望得到一些澄清！

TL; DR：正确关闭系统。

休眠与关闭无关，它与挂起至RAM（休眠）密切相关，只是将RAM的内容推送到磁盘以使其读回并从系统停止运行的确切位置恢复操作。

如果您希望更改继续存在，则需要禁用休眠和 Windows Fastboot（这是休眠的子集）。或者，您实际上可以重新启动而不是休眠然后重新启动。

更改未保留的原因是，除了休眠文件之外，尚未将其写入磁盘。您要删除的文件，这意味着文件系统可能必须修复自身并返回到“最后一次正常”状态。

当系统处于休眠状态时，将有几个关键的文件系统结构可能尚未写到磁盘上，而是在RAM中。从休眠状态恢复后，系统将期望磁盘处于非常特殊的状态，并且磁盘缓存和重要的系统文件可能会保存到休眠文件中，而不是保存到实际磁盘中。

如果执行适当的关闭操作，则Windows将正确地将工作内存刷新到磁盘，然后在断电之前将磁盘干净地卸载。

要强制正常关闭，请打开命令提示符并键入

shutdown /s /f /t 0

/s是“关机”，/f强制使用和/t 0表示“现在”（时间= 0秒）

或者，您可以仅禁用快速启动和休眠。

在HowtoGeek上了解更多信息：关闭并不能完全关闭Windows 10（但是重新启动可以）

与您执行硬关闭有关的问题是，不能保证Windows在进行更改的同一毫秒（甚至分钟）内将任何更改写出到磁盘上。几乎可以肯定会在几分钟之内完成编写，但是实际编写的可能性会随着时间的流逝而增加。它不太可能立即被写入，然后在您进行更改的时间附近，概率急剧增加，并且几乎可以肯定会在一小时内被写入。

事实是，通过强制硬关闭，您没有给系统机会安全地将更改写入磁盘。

大多数现代文件系统都是为了以最安全的方式进行更改而编写的。在过去，它们被称为“原子的”，因为变化要么已经发生，要么没有发生。

今天，我们将它们称为Journalled文件系统，因为它们保留了将要发生的操作的日志，如果系统发生故障并重新引导，这些日志可以还原或前滚。从电源故障启动后，系统将检查日志，并针对每个事务检查实际文件数据是否已写入磁盘并且是否“良好”。如果是，则转换前滚并完成，否则，它回滚到旧数据。

通过使用此顺序，磁盘几乎始终处于易于修复的状态。

但是通过强制系统意外关闭电源，您不能保证事务处理是否进展到足以进行修复的前滚，并且很有可能像Linux这样的操作系统对Windows的事务历史记录的关心程度不如Windows。而不是仅仅进行使所有内容都向后而不是向前滚动的更改。

如果您重新启动进入Windows，它可能会尝试或能够正确修复磁盘，因为它对文件系统有更深入的了解。

如MSDN页面上记录的RegFlushKey：

调用RegFlushKey是一项昂贵的操作，因为它消耗磁盘带宽并阻止正在刷新的注册表配置单元中所有进程修改所有键的修改，直到刷新操作完成为止，这会严重影响系统范围的性能。仅当应用程序必须确保注册表更改在修改后立即保留在磁盘上时，才应显式调用RegFlushKey。对键所做的所有修改对于其他进程都是可见的，而无需将其刷新到磁盘。

另外，注册表具有“惰性刷新”机制，该机制可以定期将注册表修改刷新到磁盘上。除了此常规的刷新操作外，注册表更改还会在系统关闭时刷新到磁盘。允许“惰性刷新”刷新注册表更改是管理注册表写入磁盘上注册表存储的最有效方法。

这表明，除了立即将特定的密钥刷新到磁盘（这将其他所有人锁定到注册表之外，直到刷新完成）之外，还会自动定期刷新注册表：没有给出时间，但大概至少比刷新时间长。在编写密钥和硬关机之间等待的时间。另外，正如您已经知道的那样，它在关闭时会刷新。

您可以RegFlushKey在操纵所述密钥的软件中使用该功能，也可以创建一个附加工具来强制将注册表项立即写入磁盘（如果这对您的使用情况至关重要）。

TL; DR：在正确的时间执行此操作非常小心。

上面的文档FSCTL_MARK_AS_SYSTEM_HIVE说：

该FSCTL_MARK_AS_SYSTEM_HIVE控制代码通知文件系统中指定的文件包含注册表的系统配置单元。文件系统必须在适当的时候将系统配置单元数据刷新到磁盘上，以避免死锁并确保数据完整性。

我认为没有比这更公开的细节了。

请记住，刷新文件系统并不意味着刷新注册表，因为注册表可以在文件系统之上执行缓存。首先要刷新注册表，您需要以某种方式导致NtFlushKey或ZwFlushKey调用您感兴趣的密钥。