**1. 干什么** 一个可执行文件从静态存储到退出回收经历四个阶段：格式加载、进程诞生、用户态主体执行并间歇陷入、退出回收。可执行文件格式即磁盘上程序的组织标准：Linux 为 ELF，Windows 为 PE，macOS 为 Mach-O，三者分别是三套系统的可执行文件格式。 **2. 谁在调** * 用户态主体：Shell、启动器或父进程发起创建。新进程在用户态执行自身逻辑。 * C 库封装层：Linux `fork`+`execve`、Windows `CreateProcess`、macOS `fork`/`exec`或`posix_spawn`。退出调用`exit`/`ExitProcess`。 * 内核态主体：加载映像、创建进程对象、调度执行、回收资源并登记退出码。 **3. 做什么业务** 创建阶段由内核复制地址空间并更换执行映像。主体阶段程序绝大部分时间运行在 Ring3，仅在文件、网络、内存操作时短暂陷入 Ring0。退出阶段内核回收资源、关闭未释放句柄、记录退出码，供父进程检索。 **4. 组件清单** * 可执行格式加载器（ELF/PE