4. 常见内存错误详解：越界、释放后使用

内存错误是隐私算法崩溃的头号元凶。在我多年调试隐私计算的经历里，超过一半的crash都跟越界或释放后使用有关。你想想看，一段加密算法跑着跑着突然崩了，查了半天，结果就是多写了一个字节。嗯，今天我们就把这两类错误彻底讲透。

4.1 越界访问（Out‑of‑Bounds Access）

越界，说白了就是读或写到了不属于你的内存区域。数组下标多了一个1、指针偏移算错了、字符串没留终止符……这些情况都很常见。

4.1.1 数组越界的典型场景

// 坑：忘记给 '\0' 留位置
char buf[16];
strcpy(buf, "This is a long string...");  // 越界写！

// 坑：循环条件少用了一个等号
int arr[10];
for (int i = 0; i <= 10; i++) {
    arr[i] = i * 2;   // i=10 时越界
}

我个人习惯在写数组循环时，一律用 i < len 而不用 <=。曾经有一次我在调试多方安全计算协议时，循环少了个减1，结果把相邻的元数据给覆盖了——整个计算过程反复验签失败，查了两天才定位到。

4.1.2 指针偏移越界

处理序列化数据时最容易出现。比如解析TLV（类型-长度-值）结构，如果长度字段被篡改或算错，后续指针偏移就飞了。

uint8_t *pkt = ...;
uint32_t type = *(uint32_t *)pkt;
uint32_t len  = *(uint32_t *)(pkt + 4);
uint8_t *data = pkt + 8;

// 如果 len 异常大，后续读取 data[0..len-1] 直接越界
process_data(data, len);

我曾经在隐私集合交集（PSI）协议的序列化模块里遇到过这类bug。攻击者发送了一个恶意构造的长度值，导致算法读取了堆外数据，虽然没crash，但结果全错了。所以我现在对所有外部输入的长度都做上限校验。

4.2 释放后使用（Use‑After‑Free）

UAF 比越界更隐蔽。对象已经 free 了，但指针还被留着，后续访问时堆可能已经重新分配给其他对象。你会发现变量里出现了完全无关的数据，或者写操作破坏了其他正在使用的结构。

为什么隐私算法里UAF特别多？因为很多密码学库会手动管理临时密钥的释放，逻辑复杂，一个释放顺序错误就完了。

4.2.1 经典复现

SecretKey *sk = alloc_secret_key();
compute_shared_secret(sk);
free(sk);

// 过了一会儿，有人忘了 sk 已经释放
use_secret_key(sk);  // UAF！

更隐蔽的情况是智能指针误用。C++ 里如果裸指针和 shared_ptr 混用，某个 shared_ptr 被析构后，裸指针就成了悬垂指针。

4.2.2 如何快速定位

1. 启用 AddressSanitizer：ASan 默认会在 free 后把内存标记为“中毒区”（poisoned），后续读写立即触发检测。配合 detect_use_after_return=1 还能捕获函数栈上的UAF。
2. 使用 Valgrind（Memcheck）：对复杂代码比较慢，但能发现更多隐性问题，比如条件跳转依赖未初始化值（常与UAF伴生）。
3. 日志插桩：我习惯在分配和释放函数前后加 __builtin_return_address(0) 记录调用栈，写入环形缓冲区。crash 后把缓冲区内容dump下来，快速定位到哪一次free导致的问题。

4.3 双重释放与野指针

双重释放和UAF是近亲。同一个指针被 free 两次，堆管理器会崩溃。常见于错误处理代码：异常路径里 try 块释放了一次，catch 块又释放了一次。

void safe_free(void **p) {
    if (p && *p) {
        free(*p);
        *p = NULL;
    }
}
// 调用: safe_free(&ptr); 能防御双重释放

野指针则是指针指向随机地址，没有初始化就使用。这在堆栈复用时尤其讨厌——局部变量第二次调用时可能遗留了上一次的地址。

4.4 内存错误对比一览

错误类型	根本原因	调试利器	我在项目中遇到频率
数组越界	下标/指针偏移错误	ASan、边界检查	★★★★★
堆越界写	堆内存溢出，破坏堆元数据	ASan、Valgrind	★★★★
释放后使用	悬垂指针再次访问	ASan (use-after-return), Valgrind	★★★★
双重释放	同一指针多次 free	ASan、NULL 赋值习惯	★★★
野指针	未初始化指针	编译警告、静态分析	★★★

4.5 本章知识结构

下面这张图帮大家梳理了内存错误的分类、典型成因以及推荐调试工具。每次遇到crash，先按图索骥，能省很多时间。

说白了，内存错误的调试没什么魔法，就是“工具 + 习惯”。我自己的经验是：写完代码先开 ASan 跑一轮单元测试，日常提交前跑一趟 Valgrind（只测关键路径），这样能拦住90%以上的隐蔽crash。不要等 bug 跑到线上才追，成本太高了。