6.4 内存侦探：sanitizer 与静态检查

6.4 内存侦探：sanitizer 与静态检查

本节摘要：1.3 手工挂的记账钩子是侦探的雏形，本章把它升级成专业力量：AddressSanitizer 运行期抓越界与悬垂现行，UBSan 抓未定义行为，ThreadSanitizer 专治数据竞争，静态分析在编译期查守则违例。工具报告是全册审计知识的自动化表达——读得懂报告，就守得住防线。

全册一路人工审计过来：挂钩子看存量、按三要件核竞争、对账单读 use_count。收官一节把这些功夫交给工具：编译器内置的 sanitizer 家族在运行期给每笔内存访问配上自动对账员，静态分析在编译期把守则变成检查项。本节既是工具教学，也是全册的总复习——每样工具抓的正是前面各章讲过的坏账。

一、ASan：悬垂与越界的抓现行专家

AddressSanitizer 的原理是把 1.3 的钩子做到极致：编译时给每笔内存访问插检查、运行时维护"哪些字节可碰"的红黑账本，坏账访问当场报告并给出完整归因。开箱用法是编译时加一个开关：

编译命令（示意）：g++ -std=c++17 -g -fsanitize=address demo.cpp -o demo
​

拿 1.4 的悬垂指针喂给它：

#include <cstdio>

int main() {
    int* p = new int(42);
    delete p;                      // 账已销
    *p = 7;                        // 悬垂写：ASan 当场抓现行
    std::printf("永远走不到：%d\n", *p);
    return 0;
}
​

ASan 的报告样式节选（实际报告更长，关键栏目齐全）：

ERROR: AddressSanitizer: heap-use-after-free on address 0x602000000010
WRITE of size 4 at 0x602000000010 thread T0
    #0 main demo.cpp:6
freed by thread T0 here:
    #0 operator delete
    #1 main demo.cpp:5
previously allocated by thread T0 here:
    #0 operator new
    #1 main demo.cpp:4
SUMMARY: AddressSanitizer: heap-use-after-free demo.cpp:6 main
​

读懂五个栏目，报告就是破案卷宗：错误类型（heap-use-after-free——堆上用后释放，正是悬垂写）告诉坏账类别；读写与尺寸（WRITE of size 4）还原作案动作；访问栈（demo.cpp:6）指认现场；释放栈（demo.cpp:5）指认销账时刻；分配栈（demo.cpp:4）指认开户时刻。三栈合一，第 1 章的四道工序流程图直接对上——这不是巧合，工具报告就是按坏账的发生模型设计的。

ASan 能抓的账目清单与全册的对应关系：越界读写（1.1 区域知识）、悬垂使用（1.4）、双重释放（1.4）、返回局部变量地址（3.1）、非法释放（1.3 配对铁律）。UBSan 补位抓未定义行为：有符号溢出、错位对齐、空指针解引用等。TSan 则是 5.1 竞争的专职侦探——两个无同步的冲突访问直接报出双栈归因。

二、静态分析：守则变门禁

sanitizer 抓运行期现行，静态分析查编译期违例：不运行代码，直接对源码做规则核查。主流选择是编译器自带的静态分析器与独立的 lint 工具（如 clang-tidy、cppcheck），核心价值是把第 1、2 章的守则变成机器检查项：

#include <cstdio>
#include <cstring>

void sloppy_copy(const char* src) {
    char buf[8];
    std::strcpy(buf, src);          // 静态分析告警：无界拷贝，缓冲区 8 字节
    std::printf("%s\n", buf);
}

int main() {
    sloppy_copy("audit-2024-ok");   // 13 字节入 8 字缓冲：运行期才炸的雷
    return 0;
}
​

静态分析器对这段代码的典型告警（大意）：

warning: 无界拷贝进定长缓冲，建议改用带长度上限的接口
note: 缓冲区声明处：char buf[8]
​

按守则改写——用带界接口、让编译器推导安全尺寸：

#include <cstdio>
#include <cstring>

void tidy_copy(const char* src) {
    char buf[8];
    std::snprintf(buf, sizeof(buf), "%s", src);   // 截断而不是越界：守则落地
    std::printf("%s\n", buf);
}

int main() {
    tidy_copy("audit-2024-ok");
    return 0;
}
​

输出：

audit-20
​

告警清单与守则的映射就是团队内存防线的规则表：无界拷贝（1.1 区域边界）、忘记初始化（1.4 野指针纪律）、裸 new/delete 配对存疑（第 2 章迁智能指针）、迭代器悬垂（容器扩容）、智能指针误用（get 长期保存）。比单条规则更重要的是门禁位置：静态分析接进构建流水线，新告警即合并被拒——防线从"个人自觉"变成"流程强制"，这是本章开头说的工程化落点。

三、案例：给 ProfileService 建立对账工作流

背景：全册主线走完，团队要把零散的修复经验固化成防线，避免坏账复发靠"记忆+评审"。

操作：四步建档。第一步分档启用 sanitizer：日常调试构建常开 ASan 加 UBSan（开销可控），并发压测档加 TSan（开销大，定期跑），性能档全关（sanitizer 有两倍上下的开销，与性能测量互斥）。第二步静态分析接流水线：基线存量告警登记在案，新增告警阻断合并。第三步建立坏账台账：每单内存事故记录类型、根因、对应的工具或规则，反哺规则表。第四步写进新人指引：全册的审计问话（在哪本账、谁开户、谁销账）配工具命令，形成可执行的检查单。

结果：三个月后新增内存事故趋零；一次第三方库引入的悬垂在联调第一天被 ASan 抓获，归因报告直接定位到库内代码，沟通成本从数天降到一小时。

解读：这份工作流的本质是把全册的人工审计自动化——钩子变 sanitizer，评审记忆变静态规则，个案经验变台账反哺。工具不是替代理解：报告读不懂的人配 sanitizer 也查不了案，这正是本册先讲制度后讲工具的原因。

变式：预算审计也是常见变式——在基类挂钩子统计存量（1.3），在单测里断言"测试结束存量归零"，任何泄漏当场红牌；再进一步用 pmr 资源给模块配独立账本，测试结束检查账本用量是否归零。工具箱各件配合使用，防线没有单点。

💡 关键直觉：工具报告的本质是"带归因的坏账流水"——分配栈、释放栈、访问栈三栈对读，任何坏账都能在三步内定位。选工具先看它对哪类坏账有归因能力，落不了归因的告警只是噪音。

本节要点回顾

• ASan 抓现行：插桩加红黑账本，悬垂、越界、双放当场报告，三栈归因。
• 报告五栏目：错误类型、读写尺寸、访问栈、释放栈、分配栈，对应四道工序审计。
• UBSan 与 TSan 分工：UBSan 治未定义行为，TSan 专治数据竞争（5.1 的专职侦探）。
• 静态分析查守则：无界拷贝、忘初始化、裸 new 配对等，规则表映射全册守则。
• 防线在流水线：sanitizer 分档启用，静态告警阻断合并，坏账台账反哺规则。
• 工具与理解互为表里：读得懂报告才配得上工具，制度先于工具是本册的次序。

全册到此收官。回头看第 1 章开卷的三个审计问话——登记在哪本账、谁开的户、销账执行没有——它们已经从三个问题长成了一整套体系：区域与分配回答第一问，所有权与智能指针回答第二问，RAII、锁、原子与工具链回答第三问。带着这本总账，去把你的项目变成审计驱动的工程。