指针分析与别名检测：指针的复杂性、别名问题、基于流与基于路径的指针分析、常见指针错误检测
指针，是C语言的灵魂，也是噩梦的根源。我做了十几年嵌入式开发，见过太多因为指针问题导致的线上事故。说实话，指针分析在静态分析里属于最难啃的骨头之一。今天我们就来聊聊这个话题。
指针的复杂性：为什么它这么难？
指针难在哪里？我总结了三座大山：
- 间接访问：一个指针可以指向任意地址，静态分析很难确定它到底指向哪里
- 动态性：指针的值在运行时才确定，malloc出来的地址编译时根本不知道
- 别名问题：多个指针可能指向同一块内存，改一个等于改所有
举个例子，你想想看：
int a = 10;
int *p = &a;
int **pp = &p;
int *q = *pp; // q现在也指向a
*q = 20; // a变成了20
这段代码里，p、pp、q三个变量都跟a有关系。静态分析工具要搞清楚这些关系，工作量不小。
别名问题：一个变量，多个名字
别名，说白了就是同一块内存有多个访问入口。我在项目中遇到过最典型的场景：
void process(int *x, int *y) {
*x = 10;
*y = 20;
// 如果x和y指向同一个地址，这里就有问题了
}
调用时如果传了同一个变量的地址：
int a = 0;
process(&a, &a); // 别名！x和y都指向a
这时候函数的行为就完全变了。静态分析必须能检测出这种别名关系，否则分析结果不可靠。
基于流与基于路径的指针分析
静态分析指针，主要有两种流派。我分别说说。
基于流的分析（Flow-sensitive）
这种分析会考虑程序执行的顺序。它跟踪指针在每个程序点的状态变化。说白了，就是按代码执行顺序来分析。
int *p = NULL;
p = &a; // 这里p指向a
*p = 10; // 安全
p = &b; // 这里p指向b
*p = 20; // 安全
基于流的分析能知道p在不同位置指向不同变量。它的优点是精度高，缺点是计算量大。
基于路径的分析（Path-sensitive）
这种分析更精细，它会考虑不同的执行路径。比如：
int *p;
if (condition) {
p = &a;
} else {
p = &b;
}
*p = 10; // p可能指向a或b
基于路径的分析会分别分析if和else两条路径，然后合并结果。我个人习惯在关键代码上使用这种分析，虽然慢，但准确。
| 分析类型 | 精度 | 性能 | 适用场景 |
|---|---|---|---|
| 基于流 | 中 | 快 | 大规模代码扫描 |
| 基于路径 | 高 | 慢 | 关键模块深度检查 |
常见指针错误检测
这部分我踩过的坑最多，一个一个说。
空指针检测
空指针是最常见的错误。静态分析会检查指针在使用前是否可能为NULL。
void func(int *p) {
if (p != NULL) {
*p = 10; // 安全
}
*p = 20; // 危险！可能空指针
}
好的静态分析工具会标记出第二行的问题。我记得有一次，一个同事写的代码里，malloc之后忘了检查返回值，结果在内存不足时直接崩溃。静态分析当时就报出来了。
野指针检测
野指针是指向已释放内存的指针。这是嵌入式开发的大敌。
int *p = malloc(sizeof(int));
free(p);
*p = 10; // 野指针！内存已释放
静态分析通过跟踪指针的生命周期来检测这类问题。如果发现指针在free之后还被使用，就会报警。
内存泄漏检测
内存泄漏是C程序的老毛病。静态分析会检查malloc的内存是否都有对应的free。
void leak() {
int *p = malloc(100);
// 忘记free了
return; // 内存泄漏
}
更隐蔽的情况：
int *create_buffer() {
int *p = malloc(100);
return p;
}
void use_buffer() {
int *buf = create_buffer();
// 使用buf
// 忘记free了
}
静态分析需要跨函数追踪内存的分配和释放。我曾经在一个项目中用静态分析工具扫描，发现了一个存在了两年多的内存泄漏——每次调用某个函数就泄漏64字节，累积下来相当可观。
指针分析的知识体系
下面这张图展示了指针分析的核心知识结构，我花了不少心思整理：
指针分析是个系统工程，从理解指针的复杂性开始，到处理别名问题，再到选择合适的分析方法，最后落地到常见错误的检测。每一步都有它的难点和技巧。
好了，指针分析这块内容就讲到这里。记住一句话：指针越复杂，静态分析越重要。别等到线上出问题了才后悔没做分析。
公众号:蓝海资料掘金营，微信deep3321