**1. 干什么** 注册表是内核配置管理器维护的分层键值树，磁盘上以 hive 二进制文件存放，运行时载入内存。机器级与用户级配置分巢存放，读写均经 Reg 系列 API 陷入内核。 **2. 谁在调** * 用户态主体：reg.exe、安装程序、系统配置工具。 * 系统层封装：RegOpenKeyExW、RegQueryValueExW、RegSetValueExW（advapi32）。 * 内核态主体：配置管理器、NtOpenKey、NtQueryValueKey、NtSetValueKey 与内存 hive 树。 **3. 做什么业务** 预定义巢包括 HKLM（机器级配置）、HKCU（当前用户偏好）、HKCR（文件关联）、HKU（全部用户巢根）。节点为键，键下命名数据为值。磁盘 hive 位于`C:\Windows\System32\config`，SYSTEM、SOFTWARE、SAM 各为独立文件，启动时由内核载入内存。写操作修改内存树并延迟写回。常驻位为`HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ru