Hotdry.
归档
compilers

LLVM fbounds-safety：编译器层实现 C 语言零运行时开销的边界安全防护

解析 LLVM 新增的 fbounds-safety 特性如何在编译器层为 C 代码提供自动化边界安全检查，实现零运行时开销的内存安全防护。

在 C 语言诞生后的数十年间，缓冲区溢出和越界访问一直是内存安全漏洞的主要根源。传统上，开发者依赖手动边界检查或第三方运行时库来缓解这一问题，但这些方案往往伴随着显著的性能开销或代码可维护性下降。LLVM 项目近期推出的 -fbounds-safety 特性提供了一种全新的思路：通过编译器层面的类型系统扩展，在不改变 C 语言 ABI 的前提下，为现有 C 代码库提供自动化的边界安全检查能力。本文将从编程模型、默认行为、编译优化以及实际应用等维度，系统解析这一特性的设计与实现细节。

边界注解体系：从外部约束到内部表示

-fbounds-safety 扩展的核心是一套边界注解体系，开发者可以使用这些注解为指针附加明确的边界信息。外部边界注解包括 __counted_by(N)、__sized_by(N) 和 __ended_by(P) 三种形式，它们的作用是表达指针与另一个变量之间的边界关系。以 __counted_by(count) 为例，该注解表示指针指向一个包含 count 个元素的数组，编译器可以据此在每次指针解引用前插入运行时检查。例如在如下代码中，编译器会自动检测到循环条件存在的 off-by-one 错误，并在 p[i] 访问前插入 if (i >= count) trap(); 检查，从而在程序越界访问发生前将其终止。

void fill_array_with_indices(int *__counted_by(count) p, unsigned count) {
  for (unsigned i = 0; i <= count; ++i) {
    // 编译器插入: if (i >= count) trap();
    p[i] = i;
  }
}

与外部注解不同，内部边界注解会改变指针的数据表示形式，将其转换为所谓的「宽指针」（wide pointer，又称 fat pointer）。__bidi_indexable 和 __indexable 是两种内部注解，前者携带上下界信息，允许双向索引；后者仅携带上界，pointer 本身作为下界。宽指针的内存布局相当于一个包含指针地址、上界和下界的结构体。由于内部注解会改变指针大小，因此不适合用于 ABI 可见的场景，如函数参数和全局变量。

默认边界策略：ABI 兼容与渐进式采用

如果不加任何注解，传统 C 代码向 -fbounds-safety 的迁移将是巨大的工程。为降低采用门槛，该特性根据指针的 ABI 可见性应用不同的默认边界注解。ABI 可见的指针（即函数参数、结构体字段、全局变量等）默认被标记为 __single，表示该指针仅指向单个对象或空指针，任何指针算术或数组下标访问都会触发编译期错误。这种严格默认策略确保了 ABI 边界处的安全性，同时保持了与原有 C 二进制接口的兼容性。

相比之下，非 ABI 可见的局部指针变量默认被标记为 __bidi_indexable，这意味着它们自动携带边界信息而无需手动注解。例如，从 malloc 返回的指针如果声明为局部变量，编译器会将其隐式转换为 __bidi_indexable，自动继承由 malloc 大小决定的边界范围。这种设计使得函数内部的多数代码无需修改即可在边界安全模式下运行，极大地降低了渐进式迁移的成本。

对于系统头文件中的指针，默认行为可以通过 __ptrcheck_abi_assume_* 系列宏进行控制，常见的选项包括 __ptrcheck_abi_assume_single()、__ptrcheck_abi_assume_bidi_indexable() 以及 __ptrcheck_abi_assume_unsafe_indexable() 等，允许在保持 ABI 兼容的前提下灵活调整安全策略。

编译期优化：消除冗余检查的关键机制

尽管 -fbounds-safety 会在运行时插入边界检查，但 LLVM 的优化通道能够有效消除大量冗余检查。ConstraintElimination 优化 pass 会分析代码中的显式范围判断，对于已经包含用户手动边界检查的情况，编译器可以识别并移除重复的运行时验证。更重要的是，当边界信息来自经过验证的 __counted_by 或 __sized_by 注解时，编译器会假设由这些注解派生的边界计算不会发生溢出。

以从 malloc 创建的 __sized_by 指针为例，由于 malloc 返回时已经过边界验证，后续基于 ptr + size 派生的上界计算可以确信不会溢出。这意味着在 hot path 中，如果注解足够精确，大多数运行时检查都能被优化掉，实现接近零开销的边界安全防护。

与不安全代码的互操作

在实际项目中，完全采用 -fbounds-safety 往往不切实际，因为大量第三方库和遗留代码可能尚未支持该特性。为此，扩展提供了 __unsafe_indexable 注解用于标记来自不安全代码的指针，允许边界安全代码与普通 C 代码无缝互操作。此外，内置函数 __unsafe_forge_bidi_indexable() 和 __unsafe_forge_single() 可以在确知安全的情况下，将不安全指针强制转换为带边界的指针类型。

这种设计使得团队可以逐步在关键接口处添加注解，而不必一次性改造整个代码库。实际部署案例表明，该特性已在某消费者操作系统的数百万行 C 代码中得到验证，证明了其在生产环境中的可行性。

资料来源：Clang 官方文档 https://clang.llvm.org/docs/BoundsSafety.html

查看归档