一、引言
随着浏览器代码体量不断膨胀，内存安全问题也愈加突出。Chromium 团队长期在探索如何减少 Use-After-Free（UAF）等漏洞的发生。近年来引入的 raw_ptr<T> 类型就是其中一项关键成果。
它不是简单的 T* 替代，而是通过封装指针访问与内存元数据，增加运行时检测能力，有效缓解 UAF 风险。
本文将深入剖析 raw_ptr 的底层机制，阐明其与传统裸指针及 base::WeakPtr 的异同，并结合实际应用场景讨论如何合理选用。
二、什么是 raw_ptr？
1. 定义和用途
raw_ptr<T> 是 Chromium 项目中为提升内存安全引入的智能指针封装。它替代原本易出错的裸指针 T*，在不改变访问语义的前提下，实现UAF 检测与缓解机制。
示例：raw_ptr<Foo> foo_;
它可像普通指针一样使用，但其背后可能引入一层指针验证或标记机制。
三、底层实现机制解析
raw_ptr 的底层实现因平台不同（Windows / Linux / Android）而异，核心目标是检测并阻止 UAF 攻击。下面介绍几种常见机制。
1. BackupRefPtr（引用计数后备机制）
这种机制在 Windows / Android 上启用较多，它的关键思想是为目标对象维护一个隐藏的引用计数，当 raw_ptr 指向该对象时自动增加引用计数。
-
当对象被释放时，如果引用计数不为 0，则表示有悬空指针指向它，此时系统可记录或终止运行，避免利用。
-
释放 raw_ptr 时自动减引用计数。
核心结构：
template <typename T> class raw_ptr { public: T* get() const; T& operator*() const; T* operator->() const; ... private: T* ptr_; BackupRefPtrImpl* ref_; };
优点： 高安全性，对 UAF 有较强防御
缺点： 有一定性能开销和额外内存占用
2. DanglingPtrDetector（悬空检测器）
这是另一种策略，利用页保护、地址标记或分配表检测指针是否悬空，一般用于调试或特定 build mode。
四、与 base::WeakPtr 的对比
很多人会将 raw_ptr 与 base::WeakPtr 混淆，但二者设计目标、使用场景、性能开销有明显区别：
| 对比项 | raw_ptr<T> |
base::WeakPtr<T> |
|---|---|---|
| 目的 | 保护裸指针，防 UAF | 弱引用，避免循环引用或悬空访问 |
| 检测机制 | 引用计数/元数据检测 | 控制对象销毁时自动失效 |
| 访问代价 | 极低（略高于裸指针） | 稍高（含弱引用验证逻辑） |
| 是否线程安全 | 否（默认） | 否（但与 WeakPtrFactory 配合使用可局部安全） |
| 应用场景 | 内部成员指针、缓存等 | 异步回调、延迟任务场景 |
结论：
-
WeakPtr更适用于异步生命周期管理，如 PostTask 后访问对象； -
raw_ptr更适用于普通成员变量替换裸指针，确保不会 UAF； -
二者可组合使用（如成员变量用
raw_ptr，外部访问用WeakPtr）。
五、raw_ptr 替换路径与迁移实践
Chromium 团队正逐步用 raw_ptr 替换裸指针，提升全局安全性。主要路径如下：
-
//base：基础组件替换，确保新工具链适配 -
//chrome/browser：常见浏览器对象成员替换 -
自动化工具
raw_ptr_annotator.py可辅助迁移
你可以从项目中查找变更日志或使用：
git log -S raw_ptr -- chromium/src/ 六、性能与代价考量
虽然 raw_ptr 带来额外的引用计数或元数据管理，其在 Chromium 的大规模测试中证明性能开销可控在 1~2% 范围。
若项目场景对内存安全有要求（比如浏览器、沙箱、后端服务），推荐广泛使用；如追求极致性能或控制内存池管理，则需结合场景评估。
七、总结与建议
raw_ptr<T> 是 Chromium 在内存安全领域的重要探索，它在保持指针语义不变的前提下引入运行时检测机制，为系统性解决 UAF 问题提供了新方向。
| 使用建议 |
|---|
| ✔ 成员变量建议用 raw_ptr 替代裸指针 |
| ✔ 异步回调使用 WeakPtr 管理生命周期 |
| ❌ 不建议在性能极限路径频繁使用 raw_ptr |
| ❌ 不推荐 raw_ptr 与裸指针混用 |
八、参考链接与深入阅读
-
Chromium Memory Safety blog
-
BackupRefPtr design doc
-
Chromium CL 示例：
Convert Foo* to raw_ptr<Foo>变更记录 -
《Use-after-free mitigation via raw_ptr in Chromium》技术演讲（Google Security）