深度探索 C++ 对象模型：跨模块节点池综合复盘

从“崩在虚调用，根因却不在虚表”开始

渲染主进程从 shared memory 读取节点快照，再把 bytes 放进 host object pool。节点行为由 plugin DSO 提供，hierarchy 同时使用 multiple inheritance 与 virtual base；启动时 constructor 调 virtual hook 注册类型，运行时用 RTTI 选择 renderer，失败则抛 C++ exception。线上崩溃出现在第一次 node->render()，团队因此断言“vtable 被破坏”。

先预测这条链上有几个 object-model boundary：跨进程 bytes、host/plugin allocator、construction phase、secondary base view、template type registration、exception/RTTI identity。崩溃点只是 foreign vptr 被使用的时刻；根因早在把 process-local object representation 当 stable record 时就已产生。

事故代码与错误假设

简化后的 plugin hierarchy 如下：

struct Identity {
    std::uint64_t id = 0;
    virtual ~Identity() = default;
};
 
struct Node : virtual Identity {
    Node() { registerType(); }
    virtual void registerType() {}
    virtual void update() = 0;
};
 
struct Renderable : virtual Identity {
    virtual void render() = 0;
};
 
struct PluginNode final : Node, Renderable {
    std::string material;
    void registerType() override;
    void update() override;
    void render() override;
};

这段 declaration 本身已经提出四个问题：shared virtual base Identity 在 most-derived object 里只有一份；Renderable* 可能是 secondary base view；PluginNode 含 nontrivial std::string，不可 raw-copy；Node constructor 中 virtual registerType 只能使用 active Node phase，不能调到 PluginNode override。

host 端错误地执行：从 shared memory memcpy 整个 PluginNode bytes 到 pool；把其中地址解释为 host 地址；通过 Renderable* 调 virtual；用 host delete 销毁 plugin 创建的对象；让 C++ exception 穿过 DSO。每一步都把 local ABI fact 当成 universal contract。

事件链：从错误表示到迟发崩溃

第1/3章：表示与数据访问

shared memory 中的 PluginNode bytes 包含 source process 的 vptr、string internal pointer，以及 virtual base adjustment 所依赖的 ABI representation。即便两进程使用同一 executable，ASLR、allocator state、mapping base 与 object lifetime 都不共享。host 不能通过 reinterpret_cast 获得合法 C++ object。

正确 shared record 只存 stable data：version/size、numeric type ID、relative offsets 或 flat payload。host 根据 record 构造自己的 value/handle；plugin 在本进程内建立真实 hierarchy。ordinary data serialization 与 native object layout 必须分离。

第2/5章：构造、复制与 active phase

Node() 调 registerType() 时，PluginNode members 尚未构造，常见 vptr state 只表达 Node phase，因此不会进入 PluginNode override。修复不是“手改 vptr”，而是让 factory 在 complete construction 后调用 non-constructor start/register，或把所需 data 通过 base constructor 明确传入。

raw memcpy 还跳过 copy constructor：target string 没建立独立 ownership，target vptr/virtual base 没按 most-derived construction 建立。随后 source/target 任一 destruction 都可能 double free。需要复制 dynamic object 时使用 virtual clone/serialization；对象池移动的是 handle 或在 slot 内重新构造，不移动 live polymorphic bytes。

第4章：slot 与 secondary-base thunk

合法 Renderable* 指向 PluginNode 内 Renderable subobject；其 vptr/slot 可指向 thunk，先调整到 PluginNode address 再进入 render body。foreign bytes 让 slot 本身无效；若 slot 恰好可读，wrong virtual-base metadata 仍可能计算出错误 this。因此必须记录 incoming view、slot target、adjustment 与 body，不能只比对函数名。

第6章：对象池必须拥有生命周期协议

原实现只管理 raw blocks，没有记录 slot 中是否已有 live object、由哪个 module 构造、该调用哪个 destructor。正确 pool entry 至少含 generation、type ID、destroy callback 与 owner module token；claim slot 后 placement construct，release 时只调用匹配 destroy，再回收 storage。

struct PoolHandle {
    std::uint32_t slot;
    std::uint32_t generation;
};
 
struct Slot {
    alignas(std::max_align_t) std::byte storage[kSlotSize];
    void (*destroy)(void*) noexcept = nullptr;
    std::uint32_t generation = 0;
    bool occupied = false;
};

pool 不能假设所有 types 同 alignment/size，也不能用 delete 释放 placement object。plugin 提供 placement construct/destroy entry，或更简单地让 plugin 自己管理 object，host 只持 opaque handle。constructor throw 时 slot remains unoccupied；只有成功后 publish handle。generation 防 stale handle 重用旧 slot。

第7章：模板、异常和RTTI留在ABI内侧

template registry 若在 host/plugin 分别隐式实例化，并把 typeid(T).hash_code() 或 type_info* 当 persistent ID，会把 implementation identity 泄露到 boundary。改用 schema 中明确分配的 stable numeric/string ID；template 只用于 module 内生成 mapping，必要时 explicit instantiation，跨模块只交换 stable values。

exception 也不穿越不受控 boundary。plugin entry 最外层 catch all known C++ errors，转换为 versioned status + caller-owned error buffer；host 不需要共享 unwinder/type_info/allocator。RTTI/dynamic_cast 可在 plugin local hierarchy 内使用，但 host 不用它识别 opaque handle。

extern "C" {
struct NodeApiV1 {
    std::uint32_t abi_version;
    void* (*create)(const NodeRecordV1*, ErrorV1*) noexcept;
    StatusV1 (*update)(void*, ErrorV1*) noexcept;
    StatusV1 (*render)(void*, ErrorV1*) noexcept;
    void (*destroy)(void*) noexcept;
};
}

create/destroy 在同一 module 配对，allocator ownership 不跨界；record/error payload 由明确 size/version 控制；function pointers 是装载后有效的 local process contract，不写进 shared memory。plugin unload 前必须证明没有 outstanding handles/callbacks。

修复后的四道验收门

Gate 1：Representation

扫描 schema 和 shared bytes，确认无 vptr、raw pointer、std::string native layout、member pointer 或 type_info address。对 unknown version/size 拒绝或按 backward-compatible prefix 解析；fuzz malformed offsets。

Gate 2：Construction and Calls

trace constructor order：virtual base 一次、direct bases/members 正序、factory post-start 最后；不在 constructor 调 derived hook。对 Node/Renderable 两种 base views 记录 address delta，验证 plugin-local virtual calls 进入同一 PluginNode body 且 thunk adjustment 正确。

Gate 3：Copy and Runtime Lifetime

禁用 raw object memcpy；测试 clone/record round-trip。故意让第 k 个 pool construction 抛出，确认已构造 subobjects unwind、slot 不发布、storage 可复用；destroy callback 正好一次且由 creator module 执行。ASan/UBSan 验证 stale/double destruction。

Gate 4：Late Decisions and ABI

host/plugin 使用不同 build version 做 compatibility matrix；template-generated IDs 与 schema stable ID 一致；plugin 内 exception 全被翻译；dynamic_cast/typeid 不跨 boundary。测试 plugin unload 时 outstanding handle 被拒绝，错误信息不引用 module-local storage。

第七章联合诊断清单

1. 画 most-derived object 与每个 base view，不从 crash address 直接猜 vtable。
2. 标记哪些 bytes/IDs/pointers 可跨 process/module，哪些只在 local ABI 有效。
3. 展开 generated default/copy/base/virtual-base work，禁止 raw-copy nontrivial identity。
4. 对 virtual call 同时记录 slot、thunk、incoming/adjusted this 和 active lifetime phase。
5. storage owner、constructor、destroy callback、deallocator 必须形成同一 protocol。
6. template specialization/type ID 不充当未经版本化的 runtime ABI。
7. exception 在 boundary catch-and-translate，RTTI 仅用于兼容 runtime 内的 local hierarchy。
8. 以 fault injection、sanitizer、ABI matrix 和 profile 同时证明 correctness 与成本。

小结

• 虚调用崩溃可能源自更早的 foreign representation、raw copy 或 ended lifetime
• 官方七章提供连续诊断链：表示 -> 构造/数据/函数变换 -> lifecycle/runtime -> late-bound ABI
• vptr、string pointer、type_info 与 member-pointer bytes 都不是共享内存格式
• constructor virtual hook 受 active phase 限制，complete construction 后再发布/注册
• multiple inheritance virtual call 还需 secondary-base thunk 和 this adjustment
• placement pool 必须管理 aligned storage、publish、destroy 与 generation，不能复制 live bytes
• DSO 用 stable record、opaque handle、module-local create/destroy 和 translated errors
• 最终验收同时覆盖 representation、call、lifetime、failure path 与 cross-version ABI