Service Manager被唤醒之后，就进入while循环开始处理事务了。这里wait_for_proc_work等于1，并且proc->todo不为空，所以从proc->todo列表中得到第一个工作项：

1. w = list_first_entry(&proc->todo, struct binder_work, entry);

从上面的描述中，我们知道，这个工作项的类型为BINDER_WORK_TRANSACTION，于是通过下面语句得到事务项：

1. t = container_of(w, struct binder_transaction, work);

接着就是把事务项t中的数据拷贝到本地局部变量struct binder_transaction_data tr中去了：

1. if (t->buffer->target_node) {
2. struct binder_node *target_node = t->buffer->target_node;
3. tr.target.ptr = target_node->ptr;
4. tr.cookie =  target_node->cookie;
5. ......
6. cmd = BR_TRANSACTION;
7. } else {
8. ......
9. }
10. tr.code = t->code;
11. tr.flags = t->flags;
12. tr.sender_euid = t->sender_euid;
13. if (t->from) {
14. struct task_struct *sender = t->from->proc->tsk;
15. tr.sender_pid = task_tgid_nr_ns(sender, current->nsproxy->pid_ns);
16. } else {
17. tr.sender_pid = 0;
18. }
19. tr.data_size = t->buffer->data_size;
20. tr.offsets_size = t->buffer->offsets_size;
21. tr.data.ptr.buffer = (void *)t->buffer->data + proc->user_buffer_offset;
22. tr.data.ptr.offsets = tr.data.ptr.buffer + ALIGN(t->buffer->data_size, sizeof(void *));

这里有一个非常重要的地方，是Binder进程间通信机制的精髓所在：

1. tr.data.ptr.buffer = (void *)t->buffer->data + proc->user_buffer_offset;
2. tr.data.ptr.offsets = tr.data.ptr.buffer + ALIGN(t->buffer->data_size, sizeof(void *));

t->buffer->data所指向的地址是内核空间的，现在要把数据返回给Service Manager进程的用户空间，而Service Manager进程的用户空间是不能访问内核空间的数据的，所以这里要作一下处理。怎么处理呢？我们在学面向对象语言的时候，对象的拷贝有深拷贝和浅拷贝之分，深拷贝是把另外分配一块新内存，然后把原始对象的内容搬过去，浅拷贝是并没有为新对象分配一块新空间，而只是分配一个引用，而个引用指向原始对象。Binder机制用的是类似浅拷贝的方法，通过在用户空间分配一个虚拟地址，然后让这个用户空间虚拟地址与 t->buffer->data这个内核空间虚拟地址指向同一个物理地址，这样就可以实现浅拷贝了。怎么样用户空间和内核空间的虚拟地址同时指向同一个物理地址呢？请参考前面一篇文章浅谈Service Manager成为Android进程间通信（IPC）机制Binder守护进程之路，那里有详细描述。这里只要将t->buffer->data加上一个偏移值proc->user_buffer_offset就可以得到t->buffer->data对应的用户空间虚拟地址了。调整了tr.data.ptr.buffer的值之后，不要忘记也要一起调整tr.data.ptr.offsets的值。

接着就是把tr的内容拷贝到用户传进来的缓冲区去了，指针ptr指向这个用户缓冲区的地址：

1. if (put_user(cmd, (uint32_t __user *)ptr))
2. return -EFAULT;
3. ptr += sizeof(uint32_t);
4. if (copy_to_user(ptr, &tr, sizeof(tr)))
5. return -EFAULT;
6. ptr += sizeof(tr);

这里可以看出，这里只是对作tr.data.ptr.bufferr和tr.data.ptr.offsets的内容作了浅拷贝。

最后，由于已经处理了这个事务，要把它从todo列表中删除：

注意，这里的cmd == BR_TRANSACTION && !(t->flags & TF_ONE_WAY)为true，表明这个事务虽然在驱动程序中已经处理完了，但是它仍然要等待Service Manager完成之后，给驱动程序一个确认，也就是需要等待回复，于是把当前事务t放在thread->transaction_stack队列的头部：

1. t->to_parent = thread->transaction_stack;
2. t->to_thread = thread;
3. thread->transaction_stack = t;

如果cmd == BR_TRANSACTION && !(t->flags & TF_ONE_WAY)为false，那就不需要等待回复了，直接把事务t删掉。

这个while最后通过一个break跳了出来，最后返回到binder_ioctl函数中：

1. static long binder_ioctl(struct file *filp, unsigned int cmd, unsigned long arg)
2. {
3. int ret;
4. struct binder_proc *proc = filp->private_data;
5. struct binder_thread *thread;
6. unsigned int size = _IOC_SIZE(cmd);
7. void __user *ubuf = (void __user *)arg;
8. ......
9. switch (cmd) {
10. case BINDER_WRITE_READ: {
11. struct binder_write_read bwr;
12. if (size != sizeof(struct binder_write_read)) {
13. ret = -EINVAL;
14. goto err;
15. }
16. if (copy_from_user(&bwr, ubuf, sizeof(bwr))) {
17. ret = -EFAULT;
18. goto err;
19. }
20. ......
21. if (bwr.read_size > 0) {
22. ret = binder_thread_read(proc, thread, (void __user *)bwr.read_buffer, bwr.read_size, &bwr.read_consumed, filp->f_flags & O_NONBLOCK);
23. if (!list_empty(&proc->todo))
24. wake_up_interruptible(&proc->wait);
25. if (ret < 0) {
26. if (copy_to_user(ubuf, &bwr, sizeof(bwr)))
27. ret = -EFAULT;
28. goto err;
29. }
30. }
31. ......
32. if (copy_to_user(ubuf, &bwr, sizeof(bwr))) {
33. ret = -EFAULT;
34. goto err;
35. }
36. break;
37. }
38. ......
39. default:
40. ret = -EINVAL;
41. goto err;
42. }
43. ret = 0;
44. err:
45. ......
46. return ret;
47. }

从binder_thread_read返回来后，再看看proc->todo是否还有事务等待处理，如果是，就把睡眠在proc->wait队列的线程唤醒来处理。最后，把本地变量struct binder_write_read bwr的内容拷贝回到用户传进来的缓冲区中，就返回了。

这里就是返回到frameworks/base/cmds/servicemanager/binder.c文件中的binder_loop函数了：

1. void binder_loop(struct binder_state *bs, binder_handler func)
2. {
3. int res;
4. struct binder_write_read bwr;
5. unsigned readbuf[32];
6. bwr.write_size = 0;
7. bwr.write_consumed = 0;
8. bwr.write_buffer = 0;
9. readbuf[0] = BC_ENTER_LOOPER;
10. binder_write(bs, readbuf, sizeof(unsigned));
11. for (;;) {
12. bwr.read_size = sizeof(readbuf);
13. bwr.read_consumed = 0;
14. bwr.read_buffer = (unsigned) readbuf;
15. res = ioctl(bs->fd, BINDER_WRITE_READ, &bwr);
16. if (res < 0) {
17. LOGE("binder_loop: ioctl failed (%s)\n", strerror(errno));
18. break;
19. }
20. res = binder_parse(bs, 0, readbuf, bwr.read_consumed, func);
21. if (res == 0) {
22. LOGE("binder_loop: unexpected reply?!\n");
23. break;
24. }
25. if (res < 0) {
26. LOGE("binder_loop: io error %d %s\n", res, strerror(errno));
27. break;
28. }
29. }
30. }

返回来的数据都放在readbuf中，接着调用binder_parse进行解析：

1. int binder_parse(struct binder_state *bs, struct binder_io *bio,
2. uint32_t *ptr, uint32_t size, binder_handler func)
3. {
4. int r = 1;
5. uint32_t *end = ptr + (size / 4);
6. while (ptr < end) {
7. uint32_t cmd = *ptr++;
8. ......
9. case BR_TRANSACTION: {
10. struct binder_txn *txn = (void *) ptr;
11. if ((end - ptr) * sizeof(uint32_t) < sizeof(struct binder_txn)) {
12. LOGE("parse: txn too small!\n");
13. return -1;
14. }
15. binder_dump_txn(txn);
16. if (func) {
17. unsigned rdata[256/4];
18. struct binder_io msg;
19. struct binder_io reply;
20. int res;
21. bio_init(&reply, rdata, sizeof(rdata), 4);
22. bio_init_from_txn(&msg, txn);
23. res = func(bs, txn, &msg, &reply);
24. binder_send_reply(bs, &reply, txn->data, res);
25. }
26. ptr += sizeof(*txn) / sizeof(uint32_t);
27. break;
28. }
29. ......
30. default:
31. LOGE("parse: OOPS %d\n", cmd);
32. return -1;
33. }
34. }
35. return r;
36. }

首先把从Binder驱动程序读出来的数据转换为一个struct binder_txn结构体，保存在txn本地变量中，struct binder_txn定义在frameworks/base/cmds/servicemanager/binder.h文件中：

1. struct binder_txn
2. {
3. void *target;
4. void *cookie;
5. uint32_t code;
6. uint32_t flags;
7. uint32_t sender_pid;
8. uint32_t sender_euid;
9. uint32_t data_size;
10. uint32_t offs_size;
11. void *data;
12. void *offs;
13. };

函数中还用到了另外一个数据结构struct binder_io，也是定义在frameworks/base/cmds/servicemanager/binder.h文件中：

1. struct binder_io
2. {
3. char *data;            /* pointer to read/write from */
4. uint32_t *offs;        /* array of offsets */
5. uint32_t data_avail;   /* bytes available in data buffer */
6. uint32_t offs_avail;   /* entries available in offsets array */
7. char *data0;           /* start of data buffer */
8. uint32_t *offs0;       /* start of offsets buffer */
9. uint32_t flags;
10. uint32_t unused;
11. };

接着往下看，函数调bio_init来初始化reply变量：

1. void bio_init(struct binder_io *bio, void *data,
2. uint32_t maxdata, uint32_t maxoffs)
3. {
4. uint32_t n = maxoffs * sizeof(uint32_t);
5. if (n > maxdata) {
6. bio->flags = BIO_F_OVERFLOW;
7. bio->data_avail = 0;
8. bio->offs_avail = 0;
9. return;
10. }
11. bio->data = bio->data0 = data + n;
12. bio->offs = bio->offs0 = data;
13. bio->data_avail = maxdata - n;
14. bio->offs_avail = maxoffs;
15. bio->flags = 0;
16. }

接着又调用bio_init_from_txn来初始化msg变量：

1. void bio_init_from_txn(struct binder_io *bio, struct binder_txn *txn)
2. {
3. bio->data = bio->data0 = txn->data;
4. bio->offs = bio->offs0 = txn->offs;
5. bio->data_avail = txn->data_size;
6. bio->offs_avail = txn->offs_size / 4;
7. bio->flags = BIO_F_SHARED;
8. }

最后，真正进行处理的函数是从参数中传进来的函数指针func，这里就是定义在frameworks/base/cmds/servicemanager/service_manager.c文件中的svcmgr_handler函数：

1. int svcmgr_handler(struct binder_state *bs,
2. struct binder_txn *txn,
3. struct binder_io *msg,
4. struct binder_io *reply)
5. {
6. struct svcinfo *si;
7. uint16_t *s;
8. unsigned len;
9. void *ptr;
10. uint32_t strict_policy;
11. if (txn->target != svcmgr_handle)
12. return -1;
13. // Equivalent to Parcel::enforceInterface(), reading the RPC
14. // header with the strict mode policy mask and the interface name.
15. // Note that we ignore the strict_policy and don't propagate it
16. // further (since we do no outbound RPCs anyway).
17. strict_policy = bio_get_uint32(msg);
18. s = bio_get_string16(msg, &len);
19. if ((len != (sizeof(svcmgr_id) / 2)) ||
20. memcmp(svcmgr_id, s, sizeof(svcmgr_id))) {
21. fprintf(stderr,"invalid id %s\n", str8(s));
22. return -1;
23. }
24. switch(txn->code) {
25. ......
26. case SVC_MGR_ADD_SERVICE:
27. s = bio_get_string16(msg, &len);
28. ptr = bio_get_ref(msg);
29. if (do_add_service(bs, s, len, ptr, txn->sender_euid))
30. return -1;
31. break;
32. ......
33. }
34. bio_put_uint32(reply, 0);
35. return 0;
36. }

回忆一下，在BpServiceManager::addService时，传给Binder驱动程序的参数为：

1. writeInt32(IPCThreadState::self()->getStrictModePolicy() | STRICT_MODE_PENALTY_GATHER);
2. writeString16("android.os.IServiceManager");
3. writeString16("media.player");
4. writeStrongBinder(new MediaPlayerService());

这里的语句：

1. strict_policy = bio_get_uint32(msg);
2. s = bio_get_string16(msg, &len);
3. s = bio_get_string16(msg, &len);
4. ptr = bio_get_ref(msg);

就是依次把它们读取出来了，这里，我们只要看一下bio_get_ref的实现。先看一个数据结构struct binder_obj的定义：

1. struct binder_object
2. {
3. uint32_t type;
4. uint32_t flags;
5. void *pointer;
6. void *cookie;
7. };

这个结构体其实就是对应struct flat_binder_obj的。

接着看bio_get_ref实现：

1. void *bio_get_ref(struct binder_io *bio)
2. {
3. struct binder_object *obj;
4. obj = _bio_get_obj(bio);
5. if (!obj)
6. return 0;
7. if (obj->type == BINDER_TYPE_HANDLE)
8. return obj->pointer;
9. return 0;
10. }

bio_get_obj这个函数就不跟进去看了，它的作用就是从binder_io中取得第一个还没取获取过的binder_object。在这个场景下，就是我们最开始传过来代表MediaPlayerService的flat_binder_obj了，这个原始的flat_binder_obj的type为BINDER_TYPE_BINDER，binder为指向MediaPlayerService的弱引用的地址。在前面我们说过，在Binder驱动驱动程序里面，会把这个flat_binder_obj的type改为BINDER_TYPE_HANDLE，handle改为一个句柄值。这里的handle值就等于obj->pointer的值。

回到svcmgr_handler函数，调用do_add_service进一步处理：

1. int do_add_service(struct binder_state *bs,
2. uint16_t *s, unsigned len,
3. void *ptr, unsigned uid)
4. {
5. struct svcinfo *si;
6. //    LOGI("add_service('%s',%p) uid=%d\n", str8(s), ptr, uid);
7. if (!ptr || (len == 0) || (len > 127))
8. return -1;
9. if (!svc_can_register(uid, s)) {
10. LOGE("add_service('%s',%p) uid=%d - PERMISSION DENIED\n",
11. str8(s), ptr, uid);
12. return -1;
13. }
14. si = find_svc(s, len);
15. if (si) {
16. if (si->ptr) {
17. LOGE("add_service('%s',%p) uid=%d - ALREADY REGISTERED\n",
18. str8(s), ptr, uid);
19. return -1;
20. }
21. si->ptr = ptr;
22. } else {
23. si = malloc(sizeof(*si) + (len + 1) * sizeof(uint16_t));
24. if (!si) {
25. LOGE("add_service('%s',%p) uid=%d - OUT OF MEMORY\n",
26. str8(s), ptr, uid);
27. return -1;
28. }
29. si->ptr = ptr;
30. si->len = len;
31. memcpy(si->name, s, (len + 1) * sizeof(uint16_t));
32. si->name[len] = '\0';
33. si->death.func = svcinfo_death;
34. si->death.ptr = si;
35. si->next = svclist;
36. svclist = si;
37. }
38. binder_acquire(bs, ptr);
39. binder_link_to_death(bs, ptr, &si->death);
40. return 0;
41. }