HWASan 已经指到源码，为什么还是修错：HarmonyOS 7 伪代码、参数和变量怎么组成内存越界证据

不才难以繁此生

718人浏览 · 2026-10-14 00:48:25

不才难以繁此生 · 2026-10-14 00:48:25 发布

HWASan 已经指到源码，为什么还是修错：HarmonyOS 7 伪代码、参数和变量怎么组成内存越界证据

DevEco Studio 26.0 增强了 HWASan 错误栈解析，可关联伪代码、方法参数以及变量名称和值。这能显著缩短定位时间，但也容易让人过早相信“高亮行就是根因”。内存越界、释放后使用和重复释放中，报错位置通常只是第一次被检测到的非法访问点，真正破坏对象生命周期的代码可能发生在更早线程。正确用法是把访问栈、分配栈、释放栈、参数与对象代际放到同一条时间线上。

HWASan访问栈、分配栈和释放栈证据链

问题怎么稳定复现

准备两个最小用例：一是数组长度为 8 却写入下标 8；二是工作线程保存对象指针，主线程释放后工作线程继续读。开启 HWASan 后分别触发，记录 errorType、accessStack、allocationStack、freeStack、methodParams、variableValues、objectAddress、threadId 和 generation。若只改高亮读取行便不再崩溃，但对象仍被提前释放，说明修复掩盖了检测点而没有修复生命周期。

复现时不要把“命令成功”“界面有变化”或“工具能打开文件”当成任务完成。最小证据集至少包含输入、版本、动作序列、状态变化、失败位置和可复核输出；条件不满足时明确写成待验证。

先把机制拆开

先按错误类型选择证据

越界访问关注长度、下标和边界计算；释放后使用关注分配、释放与再次访问的先后；重复释放关注所有权转移。不同类型不能套同一判空修复。

为了避免工具结论被过度解释，执行记录还要保存输入条件、设备或模拟器类型、构建身份和最终可观察状态。只有同一输入能够稳定得到同一结果，才进入后续封装。

参数和变量用于重建路径

方法参数能解释为什么走到危险分支，变量值能还原当时边界。但优化和并发可能让值不完整，需要与日志、对象地址和代际交叉核对。

访问点与破坏点分开标记

报告里明确 detectedAt 与 corruptedAtCandidate。访问点可以稳定复现，破坏点必须由分配/释放栈或受控实验支持。

案例一：数组越界发生在图片像素循环

高亮行是写入语句，根因可能是 stride 与 width 混用。把参数 width、height、stride 和索引公式一起记录，用边界模型验证最大索引，而不是简单把循环上限减一。

这一案例的验收不是让错误暂时消失，而是用同一触发序列证明错误模型已经被破坏，并保留修改前后的状态对照。

案例二：异步回调读取已释放会话对象

读取处加空判断无法修复悬空指针。建立明确所有权：回调持有安全句柄或取消令牌，释放前撤销任务；用 generation 拦截旧回调，并确认释放栈与访问栈不再交叉。

第二个案例故意选择不同故障路径，用来证明方案不是只对单一页面、单一设备或单一输入碰巧有效。

三种处理方式怎么选

方式	优点	风险
在报错行加判空	改动小	可能掩盖生命周期错误
只看伪代码猜根因	直观	缺少分配和释放证据
错误类型 + 三类栈 + 参数变量 + 代际实验	可验证	需要结构化记录

我的选择：采用第三种。增强栈让线索更丰富，但修复仍要回答对象何时创建、谁拥有、何时释放、谁还在访问。

工程侧状态模型

type MemoryEvent={kind:'alloc'|'free'|'access';address:string;generation:number;thread:string}
function illegal(events:MemoryEvent[]){
  const freed=new Set<string>();return events.filter(e=>{const k=e.address+'#'+e.generation;if(e.kind==='free')freed.add(k);return e.kind==='access'&&freed.has(k)})
}

这段代码展示责任边界，不把工具 UI、业务状态和证据记录揉成一个对象。接入工程时还需要结合目标 SDK、设备能力和现有架构补齐异常处理。

可独立执行的模型断言

function bad(es){let f=new Set;return es.filter(e=>{let k=e.a+'#'+e.g;if(e.k==='free')f.add(k);return e.k==='access'&&f.has(k)})}
let r=bad([{k:'free',a:'0x1',g:2},{k:'access',a:'0x1',g:2}]);if(r.length!==1)throw new Error('UAF未识别');
r=bad([{k:'free',a:'0x1',g:1},{k:'access',a:'0x1',g:2}]);if(r.length)throw new Error('对象代际误判');

上面的断言只验证纯状态与边界计算，可以在主机 JavaScript 环境执行；它不代表 API 26 工程已经编译，也不代表模拟器、真机或云端设备行为已经通过。

能不能封装和复用

封装 MemoryIncident、ObjectGeneration 和 FixVerification。报告同时保存错误类型、三类栈摘要、关键参数、对象地址/代际、候选破坏点与修复后复现结果。

封装层只保留稳定输入、输出和证据字段。平台能力、工具版本和设备差异由适配器处理，这样下一个功能可以复用流程，而不复制一套难以解释的脚本。

发布前验收清单

ASan、TSan、UBSan、HWASan 不同时开启。
测试设备与架构满足 HWASan 约束。
访问、分配和释放栈一起保存。
并发对象使用取消令牌或代际。
修复后恢复原始触发强度回归。

验证边界

本文基于 2026 年 10 月更新的官方文档梳理能力与约束，纯状态模型已在本机执行。当前本机 HarmonyOS SDK 为 API 24，且没有连接 HDC 设备，因此没有把 API 26 编译、模拟器特定版本行为、真机结果或应用市场审核结果写成已验证事实。目标环境验证后，应把版本、设备、构建身份和读回结果补入证据包。