在 Go 与 C 之间传递字节缓冲区而不保留悬空指针

Go 调用 C 传递字节缓冲区时，最稳妥的边界不是把 []byte 的地址长期交给 C，而是明确一次复制和一次释放：Go 到 C 用 C.CBytes，C 到 Go 用 C.GoBytes，C 堆内存由拥有它的一方调用 C.free。同步调用可以短暂传入不含 Go 指针的缓冲区；只要 C 会在函数返回后保存地址，就应该改成 C 拥有内存。

先把 Go 缓冲区和 C 堆分成两种所有权

cgo 文档把“Go 指针”和“C 指针”定义为由分配来源决定的动态属性。一个 Go slice 还带有指针、长度和容量三个信息，传给 C 的通常是它底层数组的地址，而不是可由 C 长期管理的独立对象。C 只能在调用期间使用合规的 Go 内存，不能在返回后继续保留未固定的 Go 指针。

同步消费用复制边界隔离指针生命周期

如果 C 函数只在当前调用里读取数据，可以把“调用结束即失效”写进接口约定。若 C 库的实现不容易确认，直接复制到 C 堆更容易审查：

package bridge

// #include 
// #include 
// void consume_buffer(const unsigned char *p, size_t n);
import "C"

import "unsafe"

func sendCopy(data []byte) {
	// C.CBytes 复制 data，返回由 C 堆拥有的独立缓冲区。
	if len(data) == 0 {
		return
	}
	p := C.CBytes(data)
	// 释放责任与复制动作成对出现，避免 C 堆泄漏。
	defer C.free(p)
	C.consume_buffer((*C.uchar)(p), C.size_t(len(data)))
}

这里长度显式传入，C 端不需要猜测终止符；这对二进制协议尤其重要。defer C.free(p) 只适合 C 不会保存 p 的同步函数。如果库文档承诺会缓存这个地址，不能靠延长 defer 来解决生命周期问题。

异步持有时让 C 拥有缓冲区

异步发送、后台压缩或回调通知都会让“函数返回后仍使用指针”。这时应把复制后的 C 指针和长度作为一个 C 侧对象保存，并提供明确的释放函数。不要把 Go slice、string 或包含 Go 指针的结构体写进 C 内存。

type cBuffer struct {
	ptr *C.uchar
	n   C.size_t
}

func startAsync(data []byte) (*cBuffer, error) {
	// C.CBytes 建立长期缓冲区；后续 C 代码只保存 C 堆地址。
	if len(data) == 0 {
		return nil, nil
	}
	p := C.CBytes(data)
	return &cBuffer{ptr: (*C.uchar)(p), n: C.size_t(len(data))}, nil
}

func (b *cBuffer) close() {
	if b == nil || b.ptr == nil {
		return
	}
	// close 只能由当前所有者调用一次，调用后立即清空指针。
	C.free(unsafe.Pointer(b.ptr))
	b.ptr = nil
	b.n = 0
}

生产代码还要让 C 的异步任务在释放前完成，通常由库提供 cancel、join 或完成回调。runtime.Pinner 适合少数确实需要固定对象的场景，但 slice 和 string 本身不能用它解决 C 长期保存的问题；复制到 C 堆往往更简单。

返回数据时按长度复制并复查四个边界

如果 C 返回指针和长度，Go 侧用 C.GoBytes 复制出独立 slice，再按 C API 约定释放原指针。不要把 C 指针转换成 Go slice 后跨越释放点继续使用，也不要用 C.GoString 处理可能含有零字节的二进制数据。

import (
	"fmt"
	"unsafe"
)

func readResult(ptr unsafe.Pointer, n C.int) ([]byte, error) {
	if ptr == nil || n 

落地前逐项确认：C 是否保存地址、长度是否可能溢出 Go 的 int、空指针和零长度如何表示、释放函数是否与分配器匹配。只要其中一项说不清，就先把接口改成“调用方提供长度、C 不保存 Go 指针、返回副本”的窄契约。

相关问题

可以直接把 &data[0] 传给 C 吗？

同步读取且 C 不保留地址时可以讨论这种借用方式，但必须满足 cgo 指针规则；空 slice 还不能取第一个元素。面向长期维护的接口优先使用明确的 C 堆副本。

为什么不能把 Go slice 结构体存到 C 内存？

slice 描述符包含 Go 指针，C 保存它会把 Go 运行时不认识的引用带过边界。应保存 C 指针和长度，或保存句柄而不是 Go 对象地址。

C.free 应该由 Go 还是 C 调用？

谁拥有 C 堆对象谁负责释放；由 C.CBytes 创建的内存通常由 Go 侧在协议允许的位置调用 C.free，但不能重复释放。

事实依据：https://go.dev/cmd/cgo/、https://pkg.go.dev/runtime。它们分别说明 cgo 指针传递约束、C.CBytes/C.GoBytes 的复制语义和 runtime.Pinner 的生命周期边界。