在 Linux 系统中，malloc() 是 C 语言标准库（glibc）提供的动态内存分配函数。虽然它看起来只是一个简单的 API，但其底层实现涉及虚拟内存管理、多线程并发控制、性能优化等多个操作系统核心机制。本文将系统讲解 Linux 下 malloc 的工作原理，涵盖堆空间本质、brk 与 mmap 的区别、arena 机制以及内存回收策略等内容。
一、堆空间：虚拟地址空间的一部分
堆（heap）是进程虚拟地址空间中的一个区域，用于动态内存分配。每个用户进程在启动时都会获得一个独立的虚拟地址空间（通常为 48 位或 64 位），其中包含代码段、数据段、堆、栈、共享库映射区等。
典型 64 位 Linux 进程的虚拟地址布局如下（从低到高）：
±--------------------+
| 栈（Stack） | ← 向下增长
±--------------------+
共享库 / mmap 区域
±--------------------+
| 堆（Heap） | ← 向上增长（从 _end 开始）
±--------------------+
.data / .bss 段
±--------------------+
代码段（.text）
±--------------------+
- 堆的起始位置：紧接在 .bss 段之后（符号 _end 处）。
- 堆的地址是虚拟地址：由 malloc 返回的指针指向虚拟地址，实际物理页在首次访问时通过缺页中断分配。
- 堆 ≠ 物理内存：它只是虚拟地址空间的一段"承诺"，背后可能尚未映射任何物理页。
✅ 结论：堆存在于虚拟地址空间中，是操作系统提供给应用程序的动态内存管理区域。
二、是不是只有一个堆？
传统观点认为"一个进程只有一个堆"，但在现代多线程环境下，这一说法已不准确。
-
单线程视角：一个逻辑堆
早期程序使用单一堆，通过 brk/sbrk 向上扩展，所有 malloc 请求都来自这块连续区域。
-
多线程现实：多个 arena（多个"堆"）
glibc 的 malloc 实现（ptmalloc2）引入了 arena（内存分配区） 机制：
- Main Arena：主线程使用，基于 brk，位于传统 [heap] 区域。
- Thread Arenas：每个新线程可创建自己的 arena，基于 mmap，位于 mmap 映射区。
因此，一个进程可以有多个 arena，每个 arena 都是一个独立的"堆"，拥有自己的空闲块管理结构和锁。
📌 示例：运行一个多线程程序后查看 /proc//maps，你会看到一个 [heap] 区域和多个匿名 mmap 区域------它们分别对应 main arena 和 thread arenas。
三、什么是 arena？
Arena 是 malloc 用来管理内存的独立分配区，目的是支持高效、线程安全的内存分配。
核心特点：
- 每个 arena 包含自己的内存池（chunks）、空闲链表（bins）和互斥锁。
- 主线程默认使用 main arena（基于 brk）。
- 其他线程优先使用空闲的 thread arena；若无，则创建新 arena（基于 mmap）。
数量限制：
- 默认最多 8 × CPU 核心数 个 arena（64 位系统）。
- 可通过环境变量 MALLOC_ARENA_MAX 调整（如设为 1 可减少内存占用，但牺牲并发性能）。
优势：
- 减少多线程下的全局锁竞争。
- 提高 malloc/free 的并发吞吐量。
四、brk 与 mmap：两种内存申请方式
glibc 的 malloc 底层依赖两种系统调用向内核申请内存：brk 和 mmap。它们在机制和适用场景上有本质区别。
特性 brk / sbrk mmap（匿名映射）
作用 调整堆顶（program break） 映射文件或分配匿名内存
内存区域 传统堆（连续） 任意虚拟地址（独立 VMA）
释放粒度 只能收缩堆顶 可精确释放任意块
归还 OS 困难（需 top chunk 空闲） munmap 后立即归还
初始化 未清零 自动清零
最小单位 字节（但按页对齐） 页对齐（通常 4KB）
适用大小 小内存（≤128KB） 大内存（>128KB）
glibc 的选择策略：
- ≤ 128 KB：使用 brk（通过 arena 管理 chunks）。
-
128 KB：直接调用 mmap 分配匿名内存。
💡 128KB 是默认阈值，可通过 mallopt(M_MMAP_THRESHOLD, size) 修改。
举例说明：
char *p1 = malloc(100); // → brk 堆（小内存）
charp2 = malloc(10241024); // → mmap（大内存）
free(p1); // 内存保留在 arena 中，RSS 不下降
free(p2); // 调用 munmap，RSS 立即下降
五、malloc 的内部结构：chunks 与 bins
ptmalloc2 将堆内存划分为多个 chunk（块），每个 chunk 包含元数据和用户数据：
struct malloc_chunk {
size_t prev_size; // 前一个空闲 chunk 的大小
size_t size; // 当前 chunk 大小（含标志位）
struct malloc_chunk* fd; // 空闲时：前向指针
struct malloc_chunk* bk; // 空闲时：后向指针
};
空闲 chunk 按大小分类管理于不同的 bins（桶） 中：
Bin 类型 用途 特点
Fastbins 16--80 字节（64 位） 单向链表，LIFO，不合并
Unsorted bin 临时存放刚释放的 chunk 下次分配时重新分类
Small bins /maps：查看进程内存映射（识别 [heap] 和 mmap 区域）。
- malloc_stats() / malloc_info()：获取 arena 统计信息。
- valgrind --tool=memcheck：检测内存泄漏和越界访问。
总结
Linux 的 malloc 并非简单地"申请一块内存"，而是一个复杂的、多层次的内存管理系统：
- 堆是虚拟地址空间的一部分，由 brk 或 mmap 向 OS 申请。
- 一个进程可有多个 arena，每个 arena 是一个独立的"堆"，支持多线程高效分配。
- 小内存走 brk，大内存走 mmap，兼顾性能与资源回收。
- 内存释放 ≠ 归还 OS，小内存通常被缓存以提升后续分配速度。
理解这些机制，有助于开发者写出更高效、更稳定的 C/C++ 程序，并在遇到内存问题时快速定位根源。
📘 深入阅读：
- glibc Malloc Internals
- 《深入理解计算机系统》（CSAPP）第 9 章
- 《程序员的自我修养》第 7 章
本文基于 glibc ptmalloc2 实现，适用于主流 Linux 发行版（如 Ubuntu、CentOS）。其他 libc（如 musl）或内存分配器（jemalloc/tcmalloc）行为可能有所不同。