3. 微内核中的地址空间抽象：任务与地址空间、Capability机制、空间隔离原则
好，我们接着聊。上一章讲了虚拟内存的基本概念，这一章我们深入微内核的核心——地址空间抽象。说白了，微内核跟宏内核最大的区别之一，就是它对“谁拥有什么地址空间”这件事管得特别细。
我个人习惯把微内核的地址空间想象成一个“沙盒”。每个任务都有自己的沙盒，别人进不来，你也出不去。这种隔离不是靠自觉，而是靠硬件和内核共同强制执行的。
3.1 任务与地址空间：一对一的绑定关系
在微内核里，任务（Task） 是资源分配的最小单位。每个任务都拥有一个独立的地址空间。注意，这里说的“任务”不是线程，线程只是任务里的执行流。
我见过不少刚接触微内核的同学问：“一个进程能不能有多个地址空间？” 答案是不能。一个任务有且仅有一个地址空间。反过来，一个地址空间也只能属于一个任务。这是微内核设计的基本原则。
地址空间里有什么？说白了就是三样东西：
- 代码段：只读的，任务要执行的指令
- 数据段：可读写的，堆、栈、全局变量
- 映射关系：虚拟地址到物理页框的映射表
嗯，这里要注意：微内核本身不负责管理任务的“文件描述符”或“网络连接”，那些是用户态服务的事。内核只关心地址空间和Capability。
3.2 Capability机制：访问控制的钥匙
你想想看，如果每个任务都有自己的地址空间，那任务之间怎么通信？怎么共享数据？总不能把整个地址空间都复制一遍吧？
这就是Capability机制登场的地方。Capability，说白了就是一把“令牌”。你手里有这个令牌，你就能访问某个内核对象（比如一个地址空间、一个线程、一个中断号）。
我曾经在一个项目中遇到过这样的坑：两个任务需要共享一段内存，我一开始直接让它们都映射同一个物理页。结果后来一个任务崩溃了，把共享内存写坏了，另一个任务也跟着挂了。这就是没有用Capability管控的后果。
正确的做法是：
- 任务A创建一个共享内存对象，得到一个Capability
- 任务A把这个Capability通过IPC发送给任务B
- 任务B拿着这个Capability去内核申请映射
- 内核检查Capability是否有效，然后建立映射
Capability有几个关键特性：
- 不可伪造：只有内核能创建Capability
- 可传递：通过IPC可以传给其他任务
- 可撤销：内核可以在任何时候收回Capability
- 带权限位：比如读、写、执行、删除等
下面是一个简化的Capability结构体示例：
struct capability {
uint64_t object_id; // 指向哪个内核对象
uint64_t rights; // 权限位掩码
uint64_t type; // 对象类型：地址空间、线程、IPC端口等
uint64_t guard; // 防止越界访问的保护域
};你可能会问：“这跟传统的文件描述符有什么区别？” 区别大了。文件描述符是整数索引，依赖进程的文件描述符表。Capability是全局唯一的、不可猜测的令牌。你没法通过“猜fd=3”来访问别人的资源。
3.3 空间隔离原则：谁的地盘谁做主
空间隔离，说白了就是“你的地址空间你做主，但你不能碰别人的”。这个原则听起来简单，实现起来却有很多细节。
我总结了几条硬性规则：
| 规则 | 说明 | 违反后果 |
|---|---|---|
| 规则1：无共享映射 | 除非通过Capability显式授权，否则两个任务不能映射同一物理页 | 内核直接拒绝映射请求 |
| 规则2：无越界访问 | 任务不能访问自己地址空间之外的虚拟地址 | 触发缺页异常，任务被终止 |
| 规则3：内核隔离 | 内核代码和数据位于独立的地址空间，用户态任务不可见 | 触发权限错误，任务被终止 |
| 规则4：IPC隔离 | IPC传递的数据必须显式映射到接收方的地址空间 | 数据无法读取，IPC失败 |
这里我想重点说说规则3。微内核跟宏内核的一个关键区别是：内核本身也运行在自己的地址空间里。宏内核里，内核和驱动共享一个地址空间，一个驱动写崩了，整个系统就挂了。微内核里，每个驱动都是一个独立的用户态任务，有自己的地址空间。驱动崩溃了，内核还在，系统还能抢救一下。
空间隔离的另一个重要方面是地址空间切换的开销。每次任务切换，内核都要切换页表基址寄存器（比如x86的CR3）。这个操作很贵，因为TLB（页表缓存）会被全部刷掉。
我见过一些优化方案：
- ASID（地址空间标识符）：给每个地址空间分配一个ID，TLB里带上ASID标记，切换时不用全刷
- 共享页表：内核部分映射到所有地址空间，切换时只改用户部分
- 懒切换：只有在真正访问不同地址空间时才切换页表
但说实话，这些优化都有代价。ASID需要硬件支持，共享页表会降低隔离性，懒切换增加了复杂度。我个人习惯是：先保证隔离的正确性，再考虑性能优化。毕竟，一个跑得快的错误系统，比一个慢但正确的系统更可怕。
3.4 小结
这一章我们聊了三个核心概念：
- 任务与地址空间：一对一绑定，每个任务有自己的沙盒
- Capability机制：访问控制的令牌，不可伪造，可传递，可撤销
- 空间隔离原则：谁的地盘谁做主，内核也不例外
下一章我们会深入地址空间的内部结构，看看页表、区域、映射这些底层细节是怎么工作的。到时候我会分享一些我在调试页表时踩过的坑，保证让你印象深刻。