C語言經典案例：函數返回棧內存指針導致 printf 輸出亂碼

C語言經典案例：函數返回棧內存指針導致 printf 輸出亂碼

C 語言中「函數返回局部數組/變量指針」是經典錯誤。本文通過整數轉字符串函數實例，深度剖析棧幀銷毀導致內容被覆蓋的機制，並給出三種正確解法。

錯誤代碼現象

char* swich(int n) {
    char A[20], B[20]; // 局部數組在棧上
    char *p = B;
    // ... 轉換邏輯填充 B ...
    printf("%s,", p); // 函數內輸出正常：234
    return p; // 返回棧地址！
}

void main() {
    char *p = swich(-234);
    char b[10];
    strcpy(b, p); // 複製亂碼
    printf("%s,", b); // 輸出亂碼
    // 單字符訪問 p[0]='2' 正常，p[1]、p[2] 亂碼
}

根因分析：棧幀生命周期

1. swich 執行時，A、B、p 分配在棧幀中
2. 函數內 printf 先計算參數 p（地址值）壓棧，此時 B 內容完好
3. printf 執行需建立自身棧幀，**覆蓋**了 swich 的棧空間（包括 B）
4. swich 返回，其棧幀正式銷毀，內存標記為可用
5. main 中後續操作（strcpy、再次 printf）讀取已失效地址，內容已被破壞

關鍵點：第一次 printf 能輸出正確是因參數求值在 printf 執行**前**完成，但後續任何訪問均屬未定義行為。

三種正確解法

1. 調用者分配緩衝區（推薦）

void swich(int n, char *buf, size_t size) {
    // 直接寫入調用者提供的緩衝區
    // 需檢查 size 防止溢出
}

void main() {
    char buf[20];
    swich(-234, buf, sizeof(buf));
    printf("%s\n", buf);
}

2. 靜態局部數組（僅單線程/非遞歸安全）

char* swich(int n) {
    static char B[20]; // 靜態存儲區，生命周期全程
    // ... 填充 B ...
    return B;
}

3. 動態分配內存（調用者負責 free）

char* swich(int n) {
    char *p = malloc(20); // 堆內存，手動管理
    // ... 填充 p ...
    return p;
}

void main() {
    char *p = swich(-234);
    printf("%s\n", p);
    free(p); // 必須釋放
}

進階理解：為什麼單字符訪問 p[0] 有時正常？

首字符 '2' 可能恰好未被後續棧操作覆蓋，但相鄰字節已被修改。這是巧合，**不可依賴**。

編譯器警告與工具檢測

• GCC/Clang -Wreturn-local-addr 會警告：function returns address of local variable
• AddressSanitizer (ASan) 運行時檢測 use-after-scope
• 靜態分析工具（Clang Static Analyzer、Coverity）可發現

總結

• **永不**返回局部變量/數組指針
• 理解棧幀：函數調用/返回時的棧內存重用機制
• 首選「調用者分配、被調用者填充」API 設計模式
• 啟用編譯器警告，集成 sanitizer 到 CI 流程

這個「經典錯誤」看似簡單，實則觸及 C 語言內存模型核心，是區分初學者與資深工程師的分水嶺。