C 語言野指標深度剖析：三大成因、實測驗證、偵測盲區與防禦鐵律

野指標不是空指標，而是指向已失效/未初始化/非法記憶體的指標。位址非 NULL，if(p) 判斷為真，但解參考導致未定義行為。本文以實測代碼驗證三大成因，揭示偵測盲區。

三大成因與實測代碼

1. 未初始化

int* p;          // 棧上垃圾值
*p = 10;         // 寫入隨機位址 → 崩潰/靜默破壞

正確：int* p = NULL; 或 int* p = malloc(sizeof(int));

2. 釋放後未置空

char* p = malloc(100);
strcpy(p, "Hello");
printf("位址: %p\n", p);  // 0x00...
free(p);
printf("位址: %p\n", p);  // 仍為 0x00... 但已失效
// if(p != NULL) strcpy(p, "World"); // 野指標攻擊

實測證明：free 釋放的是指向的記憶體，非指標變數本身。指標位址不變，內容成垃圾。

正確：free(p); p = NULL;

3. 超出作用域

class A { public: void Func() { cout << "A::Func"; } };
void Test() {
    A* p;
    { A a; p = &a; } // a 解構，記憶體回收
    p->Func();       // 編譯器可能優化仍能跑，但屬 UB
}

正確：延長物件生命週期、動態配置 new A + 智慧指標管理。

偵測盲區：為什麼工具也難捕捉？

• if (p != NULL) 完全無效（位址非 0）
• 編譯器優化可能讓野指標存取「看似正常」（如上例）
• Valgrind/ASan 需執行到該路徑才能報告
• 多執行緒競態下的 use-after-free 最難重現

防禦鐵律（零容忍）

1. 宣告即初始化：T* p = nullptr;
2. 釋放即置空：free(p); p = nullptr; / delete p; p = nullptr;
3. 不儲存區域物件位址：若需跨作用域，用 shared_ptr、unique_ptr、或呼叫端提供儲存空間
4. 所有權單一化：明確誰負責 delete，避免重複釋放
5. 啟用編譯器警告：-Wall -Wextra -Wuninitialized
6. 整合靜態分析：Cppcheck, Clang Static Analyzer, Coverity
7. 運行期檢測：AddressSanitizer (-fsanitize=address)、Valgrind Memcheck

C++ 現代解法：智慧指標消滅野指標

#include 
void ModernTest() {
    auto p = std::make_unique(); // 唯一所有權
    p->Func();
    // 離開作用域自動 delete，不可能野指標
}