详解 RPL、DPL、CPL 的关系

 保护模式中最重要的一个思想就是通过分级把代码隔离了起来，不同的代码在不同的级别，使大多数情况下都只和同级代码发生关系。Intel的80286以上的cpu可以识別4个特权级(或特权层) ，0级到3级。数值越大特权越小。一般用把系统内核放在0级，系统的其他服务程序位于1、2级，3级则是应用软件。一般情况下代码都在自己的级别下做自己的工作，同一级别之间可以相互访问，而一般是不允许不同级别的代码间随意访问的。但有时候不同级别的程序之间一定要访问，比如系统的接口函数等，必须能够使得应用程序能够随意调用。于是Intel将代码分为：

1.非一致码：受到隔离的代码，只能在同一级别间相互访问

2.一致码：不受到隔离的就是，允许被同等级或低等级代码调用

至于这部分我们下回再详细说，这里主要搞清楚RPL、DPL、CPL之间的关系。

Intel设置DPL、RPL、CPL以实现分级和权限检查。

DPL：描述符特权（Descriptor Privilege Level）

存储在描述符中的权限位，用于描述代码的所属的特权等级，也就是代码本身真正的特权级。一个程序可以使用多个段(Data，Code，Stack)也可以只用一个code段等。正常的情况下，当程序的环境建立好后，段描述符都不需要改变——当然DPL也不需要改变，因此每个段的DPL值是固定。

RPL：请求特权级RPL(Request Privilege Level)

RPL保存在选择子的最低两位。RPL说明的是进程对段访问的请求权限，意思是当前进程想要的请求权限。RPL的值由程序员自己来自由的设置，并不一定RPL>=CPL，但是当RPL<CPL时，实际起作用的就是CPL了，因为访问时的特权检查是判断：EPL=max(RPL,CPL)<=DPL是否成立，所以RPL可以看成是每次访问时的附加限制，RPL=0时附加限制最小，RPL=3时附加限制最大。所以你不要想通过来随便设置一个rpl来访问一个比cpl更内层的段。

因为你不可能得到比自己更高的权限，你申请的权限一定要比你实际权限低才能通过CPU的审查，才能对你放行。所以实际上RPL的作用是程序员可以把自己的程序降级运行——有些时候为了更好的安全性,程序可以在适当的时机把自身降低权限（RPL设成更大的值）。

网上许多人都说在问rpl的作用，我也很晕。Intel的手册中对RPL的作用只是这样做的简短解释的：

The RPL can be used to insure that privileged code does not access a segment on behalf of an application program unless the program itself has access privileges for that segment.

后来找到了一些资料对这段话进行了扩充和举例，我才明白一些：

对于特权级高的进程RPL是作用是防止自己不小心访问到一些资料段。比方说，如果进程A的CPL=0,它知道它的委托进程B的DPL=3，也知道数据段C的DPL=2，而这数据段是不能让CPL>2的进程访问的。

那么如果你是进程A的程序员根本不需要RPL的帮助，也不会试图让进程A访问数据段C的数据， 因为这样做只会浪费时间。当然如果你一定要访问数据段C的数据然后把数据传给委托进程B，这就是你的选择，你真的可以这样做，但后果自负。只是有时候要访问的数据段我们不知道它的DPL是怎么，也不知道能不能让进程B访问，其中的一个解决方法就是把委托进程B的DPL以RPL的方法告诉数据段C让它决定接受或不接受。（我想应该是通过程序把B的DPL装入到A的选择子中，然后再由A去访问数据段C）

下面的2个形象的例子在一定程度上帮助我理解了RPL的作用，所以也粘过来。
例子1：
中国官员分为6级国家主席1、总理2、省长3、市长4、县长5、乡长6，假设我是当前进程，级别总理（CPL=2）,我去聊城市(DPL=4)考察(呵呵),我用省长的级别(RPL=3 这样也能吓死他们:-))去访问,可以吧，如果我用县长的级别，人家就不理咱了(你看看电视上的微服私访，呵呵)，明白了吧！

为什么采用RPL，是考虑到安全的问题，就好像你明明对一个文件用有写权限，为什么用只读打开它呢，还不是为了安全！

例子2：

一个农民(低特权级)请县长(高特权级)打听一种超级种子，如果找到的话帮忙拿一点回来，听闻这种超级种子可让收成倍增。县长说：好！我认识很多当官的，我可以帮你打听一下哪里有，但是有些地方如果需要表示身分的话我只能说我是农民的代理人。县长利用自己的身份很容易找到了种子在哪里---找的时候没有人问起他代表谁。县长问种子管理员可不可以给他一点，管理员说种子不能给农民因为种子还在试验阶段，我们可以给县长让他们带回当地的专家来帮忙一起做试验，但是一定要县长来申请。那你是谁？县长说我是农民的代理人，因为县长保证他会这样回答的(他也不知道那农民是不是专家)，管理员当然不给。县长没办法只能告诉农民拿不到种子。这件事里面县长是以县长的身份帮农民找到种子，但需要表示身分的时候他说只是农民的代理人。这样做县长可以帮人但也不会给别人利用。(农民可能把种子拿回来卖钱也说不定，没人知道)

在这里RPL就是县长的另一个身份---农民的代理人也就是农民---他会带在身上，人家没有问他的时候他不会告诉别人，所以别人也就以县长的身分来看待他。当查身份的时候他才告诉你---我是农民的代理人。

RPL保存在段选择子里，而段选择子可以是变数（要不然县长怎样带在身上，这样县长也有机会多代表多一些人），当你用call的时候用上这些变数，这些变数就成了段选择子

事实上RPL跟段本身的特权级DPL和当前特权级CPL没有什么关系,因为RPL的值在成功转跳后并不赋给转跳后的CS.RPL.

怎样才能成功转跳啦?
这里有四个重要的概念：
1)．段的保护观念是高特权级(0)不找低特权级(3)办事，低特权级找高特权级帮忙，相同的一定没问题.(这样想逻辑是没错，事实对不对就不知道.)也就是县长不找乡长，乡长不求农民，反过来农民求乡长，乡长找县长.这个概念是最重要的。
2) 一致代码段的意义: 让客人很方便的利用主人(一致代码段)的东西为自己办事.但客人这身份没有改变NewCS.RPL=OldCS.RPL所以只能帮自己办事。比方说乡长有一头牛，农民可以借来帮自己种田，但不能种别人的田.但是如果你是乡长当然可以种乡里所有的田。
3) 非一致代码段的意义：主人(非一致代码段)可以帮客人但一定是用自己的身份NewCS.RPL= DestinationDescriptorCode.DPL这里可能有安全的问题, 搞不好很容易农民变县长。主人太顽固了一定要坚持自己的身份，有什么方法变通一下，来个妥协好不好。好的，它就是RPL的用处
4) RPL: 它让程序有需要的时候可以表示一个特权级更低的身份Max(RPL,CPL)而不会失去本身的特权级CPL(CS.RPL)。有需要的时候是指要检查身份的时候。