Go debug/plan9obj.NewFile 怎样读取 Plan 9 对象文件

直接结论：debug/plan9obj.NewFile 接收的是从位置 0 开始的 io.ReaderAt，返回一个用于读取 Plan 9 a.out 对象文件的 *plan9obj.File。拿到它之后，先看嵌入的 FileHeader，再遍历 Sections，需要符号时调用 Symbols()；如果文件没有符号区，应把 plan9obj.ErrNoSymbols 当作一个明确分支处理。

官方地址：https://pkg.go.dev/debug/plan9obj#NewFile

这个包适合做构建产物检查、对象文件索引和离线分析。它并不是一个面向恶意输入的强化解析器，所以我在实际接入时会把“文件从哪里来、大小多大、解析失败后怎么关资源”放在 API 调用前面。下面只讨论 Plan 9 a.out，不把 ELF、Mach-O 或反汇编流程混进来。

先确认 NewFile 的输入契约

NewFile 的参数不是普通的 io.Reader，而是 io.ReaderAt。这意味着解析器会按绝对偏移读取数据，传入的对象文件必须从 ReaderAt 的位置 0 开始。最容易踩坑的是拿一个已经读过头的流直接传进去：它虽然实现了读取接口，却不再满足对象文件头位于偏移 0 的约定。

如果只是根据路径打开文件，可以使用 plan9obj.Open；如果数据来自已有的 os.File、内存映射或自定义随机访问源，则使用 NewFile 更直接。两者都返回 *plan9obj.File，但资源关闭责任不同：Open 创建的对象由 File.Close 关闭底层文件，直接调用 NewFile 时，File.Close 不会替你关闭传入的 ReaderAt。

用 os.File 作为 ReaderAt 读取文件头

*os.File 同时提供 ReadAt，因此可以直接作为 NewFile 的输入。下面的示例把底层文件和解析结果分开关闭，并先读取文件大小，为后续输入边界留下位置。

package main

import (
	"fmt"
	"os"

	"debug/plan9obj"
)

func openPlan9(path string) (*os.File, *plan9obj.File, error) {
	file, err := os.Open(path)
	if err != nil {
		return nil, nil, fmt.Errorf("打开对象文件失败: %w", err)
	}

	obj, err := plan9obj.NewFile(file)
	if err != nil {
		// NewFile 失败时，底层 os.File 仍由调用方创建，所以这里要立即关闭。
		_ = file.Close()
		return nil, nil, fmt.Errorf("解析 Plan 9 对象文件失败: %w", err)
	}
	return file, obj, nil
}

func inspectHeader(path string) error {
	file, obj, err := openPlan9(path)
	if err != nil {
		return err
	}
	// NewFile 直接接收 os.File，File.Close 不会代替这次底层关闭。
	defer file.Close()
	defer obj.Close()

	header := obj.FileHeader
	fmt.Printf("magic=%#x ptrSize=%d entry=%#x load=%#x\\n",
		header.Magic, header.PtrSize, header.Entry, header.LoadAddress)
	return nil
}

func main() {
	// 路径来自离线分析任务；生产代码还应在进入解析器前限制来源和大小。
	if err := inspectHeader("sample.9obj"); err != nil {
		fmt.Println(err)
	}
}

成功后可以直接读取嵌入的 FileHeader。其中 Magic 表示对象格式，PtrSize 表示指针宽度，Entry 和 LoadAddress 则是头部里的地址信息。这里的字段是解析结果，不是对任意二进制文件的通用猜测；如果输入格式不符，应在 NewFile 返回错误时停止后续读取。

遍历 Sections：先看元数据，再决定是否读内容

plan9obj.File.Sections 是节区指针切片。每个节区带有 Name、Size 和 Offset，还实现了 io.ReaderAt。如果只需要建立索引，读取这些元数据就够了；只有确实需要节区内容时，才调用 Data() 或 Open()。

func listSections(obj *plan9obj.File) {
	for _, section := range obj.Sections {
		if section == nil {
			// 防御性跳过空指针，避免索引工具因单个异常条目崩溃。
			continue
		}
		fmt.Printf("section=%q offset=%d size=%d\\n",
			section.Name, section.Offset, section.Size)

		if section.Name != ".text" {
			continue
		}
		data, err := section.Data()
		if err != nil {
			// 节区元数据可读不代表内容读取一定成功，必须保留错误。
			fmt.Printf("读取 %q 内容失败: %v\\n", section.Name, err)
			continue
		}
		fmt.Printf("%s content bytes=%d\\n", section.Name, len(data))
	}
}

需要流式访问时优先考虑 Open()，它返回独立的 io.ReadSeeker。官方文档特别提醒，Section 本身只嵌入 ReaderAt，不会把可读写游标混在结构体里；如果多个消费者要读取同一节区，分别调用 Open() 更容易避免共享 seek 偏移。

Symbols：区分有符号、无符号和解析失败

调用 obj.Symbols() 会返回 []plan9obj.Sym。每个符号包含 Name、Value 和 Type。这里有一个很实用的错误边界：没有符号区时返回的是 plan9obj.ErrNoSymbols，它不等于文件整体解析失败，也不应该被无条件包装成“文件损坏”。

func listSymbols(obj *plan9obj.File) error {
	symbols, err := obj.Symbols()
	if err != nil {
		if err == plan9obj.ErrNoSymbols {
			// 没有符号区是对象文件的一种可处理状态，不必当成崩溃。
			fmt.Println("对象文件没有符号表")
			return nil
		}
		// 其他错误仍然表示符号区读取或解析失败。
		return fmt.Errorf("读取符号表失败: %w", err)
	}

	for _, symbol := range symbols {
		// Value 是符号地址，Type 是格式中的符号类型标记。
		fmt.Printf("symbol=%q value=%#x type=%q\\n",
			symbol.Name, symbol.Value, symbol.Type)
	}
	return nil
}

如果项目需要兼容包装后的错误，也可以用 errors.Is 判断，但不要通过“符号切片为空”推断没有符号表，因为空切片和错误是两种不同的结果。索引工具可以把 ErrNoSymbols 记录为状态字段，让上层决定是否跳过，而不是把它伪装成异常。

生产代码怎样收紧输入与资源边界

官方文档明确说明，debug/plan9obj 只做基础校验，并不是为对抗性输入设计的。把用户上传的任意文件直接交给解析器，会让“能否识别格式”和“能否安全消耗资源”混成一件事。比较稳妥的流程是：先限定来源，再读取文件大小，超过业务上限就拒绝；解析失败后关闭底层文件；解析成功后无论自然返回、符号表缺失还是节区读取失败，都走统一清理。

func inspectBounded(path string, maxBytes int64) error {
	file, err := os.Open(path)
	if err != nil {
		return fmt.Errorf("打开输入失败: %w", err)
	}
	defer file.Close()

	info, err := file.Stat()
	if err != nil {
		return fmt.Errorf("读取文件信息失败: %w", err)
	}
	if info.Size()  maxBytes {
		return fmt.Errorf("对象文件大小 %d 超过限制 %d", info.Size(), maxBytes)
	}

	obj, err := plan9obj.NewFile(file)
	if err != nil {
		return fmt.Errorf("对象文件格式不受支持或已损坏: %w", err)
	}
	defer obj.Close()

	if err := listSymbols(obj); err != nil {
		return err
	}
	return nil
}

这个大小检查不是对解析器安全性的替代，也不是完整的恶意文件防护；它只是把最容易控制的资源边界前置。更严格的服务还可以把解析放到隔离进程、限制 CPU 和内存，并把原始输入保存为只读临时对象。文章这里的重点是 API 使用顺序和错误分类，不把示例包装成已经完成的安全审计。

一张表记住 API 与责任

迁移清单：把读取边界固定下来

1. 确认输入是 Plan 9 a.out，不要用 plan9obj 代替 ELF 或 Mach-O 解析器。
2. 传给 NewFile 的 ReaderAt 必须把对象文件头放在偏移 0。
3. 直接使用 os.File 时，同时安排底层文件和解析对象的关闭。
4. 遍历 Sections 时先看元数据，读取大节区内容前确认业务上确实需要。
5. 调用 Symbols() 时单独处理 ErrNoSymbols，不要把“没有符号”误判为格式损坏。
6. 面对不可信输入时，把来源、文件大小、隔离和资源上限放在解析调用之前。

可以把整套用法记成一句话：ReaderAt 从零开始，先看头和节区；符号表分支处理，底层资源显式关闭。

相关问题

NewFile 能直接接收 bytes.Reader 吗？

可以，只要传入的对象实现 io.ReaderAt，并且 Plan 9 对象文件内容从它的偏移 0 开始。使用内存数据时要注意复制和容量边界，避免把超大输入无条件保留在内存中。

直接调用 NewFile 后只调用 obj.Close 可以吗？

不够。用 NewFile 直接包装 *os.File 时，File.Close 对底层文件没有关闭效果，仍要显式调用原始 os.File.Close。

Symbols 返回 ErrNoSymbols 是不是文件坏了？

不一定。它表示文件没有符号区，属于可以单独处理的结果；真正的解析或读取错误应保留原始错误并交给上层决定是否失败。