代碼實(shí)現(xiàn)

借鑒于Zombie Objects的機(jī)制，我們可以實(shí)現(xiàn)一套類Zombie Proxy機(jī)制。通過(guò)重定位類型的做法，在對(duì)象dealloc之前將其isa指針指向一個(gè)目標(biāo)類，實(shí)現(xiàn)后續(xù)調(diào)用的轉(zhuǎn)發(fā)。而目標(biāo)類中所有的方法調(diào)用都采用NSException的機(jī)制拋出異常，并且輸出調(diào)用對(duì)象的實(shí)際類型和調(diào)用方法幫助定位：

重定位后的類由于其實(shí)際用于轉(zhuǎn)發(fā)的用途，更符合Proxy的屬性，因此我將其設(shè)置為NSProxy的子類，多數(shù)人可能不知道iOS一共有NSProxy跟NSObject兩個(gè)根類。另外，為了實(shí)現(xiàn)對(duì)retain等內(nèi)存管理相關(guān)方法的重寫，目標(biāo)類應(yīng)該設(shè)置為不支持ARC：

@interface LXDZombieProxy : NSProxy

@property (nonatomic, assign) Class originClass;

@end

@implementation LXDZombieProxy

- (void)_throwMessageSentExceptionWithSelector: (SEL)selector
{
    @throw [NSException exceptionWithName:NSInternalInconsistencyException 
                                   reason:[NSString stringWithFormat:@"(-[%@ %@]) was sent to a zombie object at address: %p", NSStringFromClass(self.originClass), NSStringFromSelector(selector), self] 
                                 userInfo:nil];
}

#define LXDZombieThrowMesssageSentException() [self _throwMessageSentExceptionWithSelector: _cmd]

- (id)retain
{
    LXDZombieThrowMesssageSentException();
    return nil;
}

- (oneway void)release
{
    LXDZombieThrowMesssageSentException();
}

- (id)autorelease
{
    LXDZombieThrowMesssageSentException();
    return nil;
}

- (void)dealloc
{
    LXDZombieThrowMesssageSentException();
    [super dealloc];
}

- (NSUInteger)retainCount
{
    LXDZombieThrowMesssageSentException();
    return 0;
}

@end

由于iOS的方法實(shí)際上是以向上調(diào)用的鏈?zhǔn)綑C(jī)制實(shí)現(xiàn)的，因此只需要hook掉兩個(gè)根類的dealloc方法就能保證對(duì)對(duì)象類型的重定位。在hook掉dealloc之后有幾個(gè)需要注意的點(diǎn)：

• 對(duì)象的釋放
  由于我們需要實(shí)現(xiàn)轉(zhuǎn)發(fā)機(jī)制，這代表著本該釋放的對(duì)象在類型重定位后不能被釋放。隨著時(shí)候時(shí)間的推移，重定位類對(duì)象的數(shù)量會(huì)越來(lái)越多。根據(jù)經(jīng)驗(yàn)來(lái)說(shuō)，一般的野指針在30s內(nèi)被再次訪問(wèn)的概率很大，因此我們可以在類型重定位完成后延后30s釋放對(duì)象?；蛘呖梢詷?gòu)建一個(gè)Zombie Pool，當(dāng)內(nèi)存占用達(dá)到一定大小時(shí)，使用恰當(dāng)?shù)乃惴ㄌ蕴?/p>

• 白名單機(jī)制
  并不是所有的類對(duì)象都被監(jiān)控，比如系統(tǒng)私有類、監(jiān)控相關(guān)工具類、明確不存在野指針的類等。我們需要一個(gè)全局的白名單系統(tǒng)，來(lái)確保這些類的dealloc是正常執(zhí)行的，無(wú)需被轉(zhuǎn)發(fā)

• 潛在的crash
  通過(guò)method_setImplementation替換dealloc的代碼實(shí)現(xiàn)，由于我采用block轉(zhuǎn)IMP的方式來(lái)實(shí)現(xiàn)的方式，會(huì)對(duì)捕獲的外界對(duì)象進(jìn)行引用。而對(duì)象在重定位后，任何調(diào)用都會(huì)引發(fā)crash，因此需要針對(duì)這種情況做對(duì)應(yīng)的處理

為了滿足保證對(duì)象能夠在達(dá)成釋放條件完成內(nèi)存的回收，需要存儲(chǔ)根類的dealloc原實(shí)現(xiàn)，以根類類名作為key存儲(chǔ)在全局字典中。并且提供接口__lxd_dealloc來(lái)完成對(duì)象的釋放工作：

static inline void __lxd_dealloc(__unsafe_unretained id obj) {
    Class currentCls = [obj class];
    Class rootCls = currentCls;
    
    while (rootCls != [NSObject class] && rootCls != [NSProxy class]) {
        rootCls = class_getSuperclass(rootCls);
    }
    NSString *clsName = NSStringFromClass(rootCls);
    LXDDeallocPointer deallocImp = NULL;
    [[_rootClassDeallocImps objectForKey: clsName] getValue: &deallocImp];
    
    if (deallocImp != NULL) {
        deallocImp(obj);
    }
}

NSMutableDictionary *deallocImps = [NSMutableDictionary dictionary];
for (Class rootClass in _rootClasses) {
    IMP originalDeallocImp = __lxd_swizzleMethodWithBlock(class_getInstanceMethod(rootClass, @selector(dealloc)), swizzledDeallocBlock);
    [deallocImps setObject: [NSValue valueWithBytes: &originalDeallocImp objCType: @encode(typeof(IMP))] forKey: NSStringFromClass(rootClass)];
}

在對(duì)象的dealloc被調(diào)起之后，檢測(cè)對(duì)象類型是否存在白名單中。如果存在，直接繼續(xù)完成對(duì)對(duì)象的釋放工作。否則的話，延后30s進(jìn)行釋放工作。為了解除block引用造成的crash，使用NSValue存儲(chǔ)對(duì)象信息以及使用__unsafe_unretained來(lái)防止臨時(shí)變量的引用：

swizzledDeallocBlock = [^void(id obj) {
    Class currentClass = [obj class];
    NSString *clsName = NSStringFromClass(currentClass);
    /// 如果為白名單，則不重定位類的類型
    if ([__lxd_sniff_white_list() containsObject: clsName]) {
        __lxd_dealloc(obj);
    } else {
        NSValue *objVal = [NSValue valueWithBytes: &obj objCType: @encode(typeof(obj))];
        object_setClass(obj, [LXDZombieProxy class]);
        ((LXDZombieProxy *)obj).originClass = currentClass;
        
        /// 延后30秒釋放對(duì)象，避免造成內(nèi)存的浪費(fèi)
        dispatch_after(dispatch_time(DISPATCH_TIME_NOW, (int64_t)(30 * NSEC_PER_SEC)), dispatch_get_main_queue(), ^{
            __unsafe_unretained id deallocObj = nil;
            [objVal getValue: &deallocObj];
            object_setClass(deallocObj, currentClass);
            __lxd_dealloc(deallocObj);
        });
    }
} copy];

具體的實(shí)現(xiàn)代碼可以下載LXDZombieSniffer

疑難問(wèn)題

野指針問(wèn)題是訪問(wèn)了非法內(nèi)存導(dǎo)致的crash，也就是說(shuō)要符合兩個(gè)條件：內(nèi)存非法以及指針地址不為NULL。在iOS中存在三種不同修飾的指針：

• __strong
  默認(rèn)修飾符。修飾的指針在賦值之后，會(huì)對(duì)指向的對(duì)象執(zhí)行一次retain操作，指針不因?qū)ο蟮纳芷谧兓淖?/p>

• __unsafed_unretained
  非安全對(duì)象指針修飾符。修飾的指針不會(huì)持有指向?qū)ο螅膊灰驅(qū)ο蟮纳芷诎l(fā)生變化而改變，等同于assign

• __weak
  弱對(duì)象指針修飾符。修飾的指針不會(huì)持有指向?qū)ο螅趯?duì)象的生命周期結(jié)束并且內(nèi)存被回收時(shí)，修飾的指針內(nèi)容會(huì)被重置為nil

根據(jù)野指針異常的引發(fā)條件來(lái)說(shuō)，三種修飾指針只有__strong和__unsafed_unretained可以導(dǎo)致野指針訪問(wèn)異常。但是在使用類別重定位之后，本該釋放的對(duì)象會(huì)被延時(shí)或者不釋放，也就是本該被重置的弱指針也不會(huì)發(fā)生重置，這時(shí)使用弱指針訪問(wèn)對(duì)象應(yīng)該會(huì)被轉(zhuǎn)發(fā)到ZombieProxy當(dāng)中發(fā)生crash：

__weak id weakObj = nil;
@autoreleasepool {
    NSObject *obj = [NSObject new];
    weakObj = obj;
}
/// The operate should be crashed
NSLog(@"%@", weakObj);

然而在上面的測(cè)試中，發(fā)現(xiàn)即便對(duì)象被重定位為Zombie并且被阻止釋放之后，weakObj依舊被成功的設(shè)置成了nil。然后經(jīng)過(guò)objc_runtime源碼運(yùn)行和添加斷點(diǎn)測(cè)試之后，也沒(méi)有weak指針被重置的調(diào)用。甚至使用了LLVM的watch set var weakObj監(jiān)控弱指針，依舊無(wú)法找到調(diào)用。但weakObj在dealloc調(diào)用之后，不管對(duì)象有沒(méi)有被釋放，都被重置成了nil。這也是截止文章出來(lái)為止，匪夷所思的疑難雜癥

參考

如何定位Obj-C野指針隨機(jī)Crash(一)
如何定位Obj-C野指針隨機(jī)Crash(二)
如何定位Obj-C野指針隨機(jī)Crash(三)