Android上的熱修復(fù)框架 AndFix 想必已經(jīng)是耳熟能詳，它的原理實(shí)際上很簡單：方法替換——Java層的每一個方法在虛擬機(jī)實(shí)現(xiàn)里面都對應(yīng)著一個ArtMethod的結(jié)構(gòu)體，只要把原方法的結(jié)構(gòu)體內(nèi)容替換成新的結(jié)構(gòu)體的內(nèi)容，在調(diào)用原方法的時候，真正執(zhí)行的指令會是新方法的指令；這樣就能實(shí)現(xiàn)熱修復(fù)，詳細(xì)代碼見 AndFix。

為什么可以這么做呢？那得從 Android 虛擬機(jī)的方法調(diào)用過程說起。作為一個系列的開篇，本文不打算展開講虛擬機(jī)原理等內(nèi)容，首先給大家一道開胃菜；后續(xù)我們再深入探索ART。

眾所周知，AndFix是一種 native 的hotfix方案，它的替換過程是用 c 在 native層完成的，但其實(shí)，我們也可以用純Java實(shí)現(xiàn)它！而且，代碼還非常精簡，且看——

方法替換原理

既然我們知道 AndFix 的原理是方法替換，那么為什么直接替換Java里面的 java.lang.reflect.Method 有什么問題嗎？直接這樣貌似很難下結(jié)論，那我們換個思路。我們實(shí)現(xiàn)方法替換的結(jié)果，就是調(diào)用原方法的時候最終是調(diào)用被替換的方法。因此，我們可以看看 java.lang.reflect.Method類的 invoke 方法。（這里有個疑問，F(xiàn)oo.bar()這種直接調(diào)用與反射調(diào)用Foo.class.getDeclaredMethod("bar").invoke(null) 有什么區(qū)別嗎？這個問題后續(xù)再談）

    private native Object invoke(Object receiver, Object[] args, boolean accessible)
            throws IllegalAccessException, IllegalArgumentException, InvocationTargetException;

這個invoke是一個native方法，它的native實(shí)現(xiàn)在 art/runtime/native/java_lang_reflect_Method.cc 里面，這個jni方法最終調(diào)用了 art/runtime/reflection.cc 的 InvokeMethod方法：

object InvokeMethod(const ScopedObjectAccessAlreadyRunnable& soa, jobject javaMethod,
                     jobject javaReceiver, jobject javaArgs, bool accessible) {
  // 略...

  mirror::ArtMethod* m = mirror::ArtMethod::FromReflectedMethod(soa, javaMethod);

  mirror::Class* declaring_class = m->GetDeclaringClass();

  // 按需初始化類，略。。

  mirror::Object* receiver = nullptr;
  if (!m->IsStatic()) {
    // Check that the receiver is non-null and an instance of the field's declaring class.
    receiver = soa.Decode<mirror::Object*>(javaReceiver);
    if (!VerifyObjectIsClass(receiver, declaring_class)) {
      return NULL;
    }

    // Find the actual implementation of the virtual method.
    m = receiver->GetClass()->FindVirtualMethodForVirtualOrInterface(m);
  }

  // 略..
  InvokeWithArgArray(soa, m, &arg_array, &result, shorty);
  // 略 。。
  // Box if necessary and return.
  return soa.AddLocalReference<jobject>(BoxPrimitive(mh.GetReturnType()->GetPrimitiveType(),
                                                     result));
}

上面函數(shù) InvokeMethod 的第二個參數(shù) javaMethod 就是Java層我們進(jìn)行反射調(diào)用的那個Method對象，在jni層反映為一個jobject；InvokeMethod這個native方法首先通過 mirror::ArtMethod::FromReflectedMethod 獲取了Java對象的在native層的 ArtMethod指針，我們跟進(jìn)去看看是怎么實(shí)現(xiàn)的：

ArtMethod* ArtMethod::FromReflectedMethod(const ScopedObjectAccessAlreadyRunnable& soa,
                                          jobject jlr_method) {
  mirror::ArtField* f =
      soa.DecodeField(WellKnownClasses::java_lang_reflect_AbstractMethod_artMethod);
  mirror::ArtMethod* method = f->GetObject(soa.Decode<mirror::Object*>(jlr_method))->AsArtMethod();
  DCHECK(method != nullptr);
  return method;
}

我們在這里看到了一點(diǎn)端倪，獲取到了Java層那個Method對象的一個叫做 artMethod的字段，然后強(qiáng)轉(zhuǎn)成了ArtMethod指針（這里的說法不是很準(zhǔn)確，但是要搞明白這里面的細(xì)節(jié)一兩篇文章講不清楚 _{_}，我們暫且這么認(rèn)為吧。）

AndFix的實(shí)現(xiàn)里面，也正是使用這個 FromReflectedMethod 方法拿到Java層Method對應(yīng)native層的ArtMethod指針，然后執(zhí)行替換的。

上面我們也看到了，我們在native層替換的那個 ArtMethod 不是在 Java 層也有對應(yīng)的東西么？我們直接替換掉 Java 層的這個artMethod 字段不就OK了？但是我們要注意的是，在Java里面除了基本類型，其他東西都是引用。要實(shí)現(xiàn)類似C++里面那種替換引用所指向內(nèi)容的機(jī)智，需要一些黑科技。

Unsafe 和 Memory

要在Java層操作內(nèi)容，也不是沒有辦法做到；JDK給我們留了一個后門：sun.misc.Unsafe 類；在OpenJDK里面這個類灰常強(qiáng)大，從內(nèi)存操作到CAS到鎖機(jī)制，無所不能（可惜的是據(jù)說JDK8要去掉？）但是在Android 平臺還有一點(diǎn)點(diǎn)不一樣，在 Android N之前，Android的JDK實(shí)現(xiàn)是 Apache Harmony，這個實(shí)現(xiàn)里面的Unsafe就有點(diǎn)雞肋了，沒法寫內(nèi)存；好在Android 又開了一個后門：Memory 類。

有了這兩個類，我們就能在Java層進(jìn)行簡單的內(nèi)存操作了！！由于這兩個類是隱藏類，我寫了一個wrapper，如下：

    private static class Memory {

        // libcode.io.Memory#peekByte
        static byte peekByte(long address) {
            return (Byte) Reflection.call(null, "libcore.io.Memory", "peekByte", null, new Class[]{long.class}, new Object[]{address});
        }

        static void pokeByte(long address, byte value) {
            Reflection.call(null, "libcore.io.Memory", "pokeByte", null, new Class[]{long.class, byte.class}, new Object[]{address, value});
        }

        public static void memcpy(long dst, long src, long length) {
            for (long i = 0; i < length; i++) {
                pokeByte(dst, peekByte(src));
                dst++;
                src++;
            }
        }
    }

    static class Unsafe {

        static final String UNSAFE_CLASS = "sun.misc.Unsafe";
        static Object THE_UNSAFE;

        private static boolean is64Bit;

        static {
            THE_UNSAFE = Reflection.get(null, UNSAFE_CLASS, "THE_ONE", null);
            Object runtime = Reflection.call(null, "dalvik.system.VMRuntime", "getRuntime", null, null, null);
            is64Bit = (Boolean) Reflection.call(null, "dalvik.system.VMRuntime", "is64Bit", runtime, null, null);
        }

        public static long getObjectAddress(Object o) {
            Object[] objects = {o};
            Integer baseOffset = (Integer) Reflection.call(null, UNSAFE_CLASS,
                    "arrayBaseOffset", THE_UNSAFE, new Class[]{Class.class}, new Object[]{Object[].class});
            return ((Number) Reflection.call(null, UNSAFE_CLASS, is64Bit ? "getLong" : "getInt", THE_UNSAFE,
                    new Class[]{Object.class, long.class}, new Object[]{objects, baseOffset.longValue()})).longValue();
        }
    }

具體實(shí)現(xiàn)

接下來思路就很簡單了呀，用偽代碼表示就是：

memcopy(originArtMethod, replaceArtMethod);

但是還有一個問題，我們要整個把 originMethod 的 artMethod 所在的內(nèi)存直接替換為 replaceMethod 的artMethod 所在的內(nèi)存（上面我們已經(jīng)知道，Java層Method類的artMethod實(shí)際上就是native層的指針表示，在Android N上更明顯，這玩意兒直接就是一個long），現(xiàn)在我們已經(jīng)知道這兩個地址是什么，那么我們把 replaceArtMethod 代表的內(nèi)存復(fù)制到 originArtMethod 的區(qū)域，應(yīng)該還需要知道一個 artMethod 有多大。

但是事情沒有一個 sizeof 那么簡單。你看AndFix的實(shí)現(xiàn)是在每個Android版本把ArtMethod這個結(jié)構(gòu)體復(fù)制一份的；要想用sizeof還得把這個類所有的引用復(fù)制過來，及其麻煩。更何況在Java里面 sizeof都沒有。不過也不是沒有辦法，既然我們已經(jīng)能在Java層拿到對象的地址，只需要創(chuàng)建一個數(shù)組，丟兩個ArtMethod，把兩個數(shù)組元素的起始地址相減不就得到一個 artMethod的大小了嗎？

不過，既然我們實(shí)現(xiàn)了方法替換；還有最后一個問題，如果我們需要在替換后的方法里面調(diào)用原函數(shù)呢？這個也很簡單，我們只需要把原函數(shù)copy一份保存起來，需要調(diào)用原函數(shù)的時候調(diào)用那個copy的函數(shù)不就行了？不過在具體實(shí)現(xiàn)的時候，會遇到一個問題，就是 Java的非static 非private的方法默認(rèn)是虛方法，在調(diào)用這個方法的時候會有一個類似查找虛函數(shù)表的過程，這個在上面的代碼 InvokeMethod 里面可以看到：

  mirror::Object* receiver = nullptr;
  if (!m->IsStatic()) {
    // Check that the receiver is non-null and an instance of the field's declaring class.
    receiver = soa.Decode<mirror::Object*>(javaReceiver);
    if (!VerifyObjectIsClass(receiver, declaring_class)) {
      return NULL;
    }

    // Find the actual implementation of the virtual method.
    m = receiver->GetClass()->FindVirtualMethodForVirtualOrInterface(m);
  }

在調(diào)用的時候，如果不是static的方法，會去查找這個方法的真正實(shí)現(xiàn)；我們直接把原方法做了備份之后，去調(diào)用備份的那個方法，如果此方法是public的，則會查找到原來的那個函數(shù)，于是就無限循環(huán)了；我們只需要阻止這個過程，查看 FindVirtualMethodForVirtualOrInterface 這個方法的實(shí)現(xiàn)就知道，只要方法是 invoke-direct 進(jìn)行調(diào)用的，就會直接返回原方法，這些方法包括：構(gòu)造函數(shù)，private的方法( 見 https://source.android.com/devices/tech/dalvik/dalvik-bytecode.html) 因此，我們手動把這個備份的方法屬性修改為private即可解決這個問題。

詳細(xì)代碼見：github/epic

至此，我們就用純Java實(shí)現(xiàn)了一個 AndFix，代碼只有200行不到?。∈遣皇呛苌衿?？當(dāng)然，這里面包含了很多黑科技，接下來我們將以這個為引子，深入探索Android ART的方方面面，揭開虛擬機(jī)底層的神秘面紗，敬請期待～～