一个double free相关问题的澄清

引言

前一阵定位 Oracle 的 OCI 接口相关的一个内存释放问题，在网上看到了链接如下的这篇文章：

一个C++bug引入的许多知识

看到后面说 vector 里的两个单元里的内部成员指针地址是一样的，感觉很怪异。于是写了个简单程序实际验证一下。

COuter 和 CInner 类

#include <stdio.h>
#include <vector>

class CInner
{
public:
    CInner(int id) : m_nId(id) {
        printf("  Inner item %d constructor\n", id);
    }
    ~CInner() {
        printf("  Inner item 0x%X deconstructor\n", m_nId);
    }
private:
    int m_nId;
};

class COuter
{
public:
    COuter(int id) : m_pInner(NULL), m_nId(id) {
        printf("Outer item %d constructor\n", id);
    }
    ~COuter() {
        printf("Outer item %d deconstructor\n", m_nId);
        if (m_pInner) {
            printf("Inner item %d with address=0x%X will be deleted...\n", m_nId, m_pInner);
            delete m_pInner;
            printf("Inner item %d deleting done.\n\n", m_nId);
        }
        else {
            printf("Item %d has no inner item.\n\n", m_nId);
        }
    }

    CInner* getInnerItem() {
        if (NULL == m_pInner) {
            m_pInner = new CInner(m_nId);
            printf("A inner item with id=%d and address=0x%X is created.\n", m_nId, m_pInner);
        }
        return m_pInner;
    }
private:
    CInner* m_pInner;
    int m_nId;
};

main

int main()
{
    std::vector<COuter> vec;
    for (int idx = 0; idx < 2; ++idx) {
        COuter item(idx);
        printf("Outer item %d will be pushed into vector...\n", idx);
        vec.push_back(item);
        printf("Outer item %d is in vector.\n", idx);
        vec.back().getInnerItem();
    }
    return 0;
}

运行结果分析

程序本身很简单，以下以 Windows 平台为例（Linux 下情形类似）就运行输出结果进行分析。

程序运行输出以下信息后报错：

Outer item 0 constructor // 局部变量COuter item(0)开始生命周期，其构造函数被调用，这是第一个id为0的Outer实例
Outer item 0 will be pushed into vector...
Outer item 0 is in vector. // 此时有两个Outer实例，id都为0，第二个是第一个的拷贝构造，并已放入vec里
  Inner item 0 constructor // 为第二个Outer实例构造inner实例
A inner item with id=0 and address=0xD55D98 is created.
Outer item 0 deconstructor // COuter item(0)到了生命周期，其析构函数被调用，之后只剩第二个id为0的Outer实例
Item 0 has no inner item.

Outer item 1 constructor // 局部变量COuter item(1)开始生命周期
Outer item 1 will be pushed into vector...
Outer item 0 deconstructor
Inner item 0 with address=0xD55D98 will be deleted...
  Inner item 0x0 deconstructor
Inner item 0 deleting done.

Outer item 1 is in vector.
  Inner item 1 constructor
A inner item with id=1 and address=0xD55D50 is created.
Outer item 1 deconstructor
Item 1 has no inner item.

Outer item 0 deconstructor
Inner item 0 with address=0xD55D98 will be deleted...
  Inner item 0xFEEEFEEE deconstructor

 第11行到第14行的输出信息说明：vec里因为要增加新单元，其内存空间要做调整，第三个id为0的Outer实例由第二个id为0的Outer实例拷贝构造而成并加入vec，随后便释放了第二个id为0的Outer实例。由于缺省拷贝函数会对指针成员做简单值拷贝，第三个id为0的Outer实例里的m_pInner指针指向的是第二个id为0的Outer实例所指向的Inner实例，即两个Outer实例内部指向了同一个Inner实例。而这个Inner实例随着第二个id为0的Outer实例的释放而被释放了，第三个id为0的实例还在指向这个被释放了的Inner实例，这就留下了隐患，因为。

第16行到20行的输出，很好理解，此时vec里有两个单元，其中id为1的单元实例所指向的Inner实例也已创建好了。两个Inner实例的所占堆空间的起始地址是不一样的，即0xD55D98和0xD55D50。问题在于0xD55D98所指向的地址已经释放过了。

 第22行的输出说明：局部变量vec到了生命周期，在释放第一个单元实例时，由于其指针成员不为NULL，于是对0xD55D98所指空间又做一次释放，从而引发了问题。