在内存映射中使用reinterpret_cast时处理未定义的行为

Question

为避免复制大量数据，需要mmap二进制文件并直接处理原始数据。这种方法有几个优点，包括将分页降级到操作系统。不幸的是，我的理解是明显的实现会导致未定义的行为（UB）。

我的用例如下：创建一个二进制文件，其中包含一些标识格式和提供元数据的标题（在本例中只是double值的数量）。该文件的其余部分包含我希望处理的原始二进制值，而不必先将文件复制到本地缓冲区（这就是我首先对文件进行内存映射的原因）。下面的程序是一个完整的（如果简单的）示例（我相信所有标记为UB[X]的地方都会导致UB）：

// C++ Standard Library
#include <algorithm>
#include <cstddef>
#include <cstdint>
#include <fstream>
#include <iostream>
#include <numeric>

// POSIX Library (for mmap)
#include <fcntl.h>
#include <sys/mman.h>
#include <sys/stat.h>
#include <unistd.h>

constexpr char MAGIC[8] = {"1234567"};

struct Header {
  char          magic[sizeof(MAGIC)] = {'\0'};
  std::uint64_t size                 = {0};
};
static_assert(sizeof(Header) == 16, "Header size should be 16 bytes");
static_assert(alignof(Header) == 8, "Header alignment should be 8 bytes");

void write_binary_data(const char* filename) {
  Header header;
  std::copy_n(MAGIC, sizeof(MAGIC), header.magic);
  header.size = 100u;

  std::ofstream fp(filename, std::ios::out | std::ios::binary);
  fp.write(reinterpret_cast<const char*>(&header), sizeof(Header));
  for (auto k = 0u; k < header.size; ++k) {
    double value = static_cast<double>(k);
    fp.write(reinterpret_cast<const char*>(&value), sizeof(double));
  }
}

double read_binary_data(const char* filename) {
  // POSIX mmap API
  auto        fp = ::open(filename, O_RDONLY);
  struct stat sb;
  ::fstat(fp, &sb);
  auto data = static_cast<char*>(
      ::mmap(nullptr, sb.st_size, PROT_READ, MAP_PRIVATE, fp, 0));
  ::close(fp);
  // end of POSIX mmap API (all error handling ommitted)

  // UB1
  const auto header = reinterpret_cast<const Header*>(data);

  // UB2
  if (!std::equal(MAGIC, MAGIC + sizeof(MAGIC), header->magic)) {
    throw std::runtime_error("Magic word mismatch");
  }

  // UB3
  auto beg = reinterpret_cast<const double*>(data + sizeof(Header));

  // UB4
  auto end = std::next(beg, header->size);

  // UB5
  auto sum = std::accumulate(beg, end, double{0});

  ::munmap(data, sb.st_size);

  return sum;
}

int main() {
  const double expected = 4950.0;
  write_binary_data("test-data.bin");

  if (auto sum = read_binary_data("test-data.bin"); sum == expected) {
    std::cout << "as expected, sum is: " << sum << "\n";
  } else {
    std::cout << "error\n";
  }
}

编译并运行为：

$ clang++ example.cpp -std=c++17 -Wall -Wextra -O3 -march=native
$ ./a.out
$ as expected, sum is: 4950

在现实生活中，实际的二进制格式要复杂得多，但保留了相同的属性：基本类型存储在具有正确对齐的二进制文件中。

我的问题是：你如何处理这个用例？

我发现许多答案我认为是相互矛盾的。

一些answers毫不含糊地指出，人们应该在本地建造物体。这很可能是这种情况，但严重地使任何面向阵列的操作复杂化。

评论elsewhere似乎同意这种结构的UB性质，但存在一些分歧。

cppreference的措辞至少对我来说是令人困惑的。我会把它解释为“我正在做的事情是完全合法的”。特别是这一段：

每当尝试通过类型为AliasedType的glvalue读取或修改DynamicType类型的对象的存储值时，除非满足下列条件之一，否则行为是未定义的：

• 别名类型和动态类型相似。
• AliasedType是DynamicType的（可能是cv限定的）有符号或无符号变体。
• AliasedType是std :: byte，（自C ++ 17开始）char或unsigned char：这允许将任何对象的对象表示检查为字节数组。

可能是C ++ 17为std::launder提供了一些希望，或者我必须等到C ++ 20才能获得std::bit_cast的内容。

与此同时，您如何处理这个问题？

链接到在线演示：https://onlinegdb.com/rk_xnlRUV

Simplified example in C

我的理解是正确的，以下C程序没有表现出未定义的行为？我理解通过char缓冲区转换的指针不参与严格的别名规则。

#include <stdint.h>
#include <stdio.h>

struct Header {
  char     magic[8];
  uint64_t size;
};

static void process(const char* buffer) {
  const struct Header* h = (const struct Header*)(buffer);
  printf("reading %llu values from buffer\n", h->size);
}

int main(int argc, char* argv[]) {
  if (argc != 2) {
    return 1;
  }
  // In practice, I'd pass the buffer through mmap
  FILE* fp = fopen(argv[1], "rb");
  char  buffer[sizeof(struct Header)];
  fread(buffer, sizeof(struct Header), 1, fp);
  fclose(fp);
  process(buffer);
}

我可以通过传递原始C ++程序创建的文件来编译和运行此C代码，并按预期工作：

$ clang struct.c -std=c11 -Wall -Wextra -O3 -march=native
$ ./a.out test-data.bin 
reading 100 values from buffer

Answer 1

std::launder通过严格的别名来解决问题，但没有使用对象生存期。

std::bit_cast制作副本（它基本上是std::memcpy的包装器），并且不能从一系列字节复制。

标准C ++中没有工具可以在不复制的情况下重新解释映射内存。这样的工具已被提出：std::bless。除非这些更改被采用到标准中，否则你必须要么希望UB不会破坏任何内容†，将潜在的††性能命中并复制，或者用C编写程序。

†虽然不理想，但这并不像听起来那么糟糕。您已经通过使用mmap来限制可移植性，并且如果您的目标系统/编译器承诺可以重新解释mmapped内存（可能使用洗涤），那么应该没有问题。也就是说，我不知道是不是说，Linux上的GCC给出了这样的保证。

††编译器可能会优化std::memcpy。可能没有任何性能损失。这个SO answer有一个方便的功能，被观察到被优化了，但确实按照语言规则启动了对象的生命周期。它确实有一个限制，映射的内存必须是可写的（因为它在内存中创建对象，而在非优化的构建中它可能会进行实际的复制）。