为何C语言栈数组返回后的最后两个元素始终有效？

首先看用于演示的代码：

#include <stdio.h>

int *oneToTen();
int *elevenToTwenty();

int main() {

  int *arr = oneToTen();

  for (int i = 0; i < 10; ++i) {
    printf("%d\n", arr[i]);
  }

  elevenToTwenty();
  printf("\n\n\n");

  for (int i = 0; i < 10; ++i) {
    printf("%d\n", arr[i]);
  }

  return 0;
}

int *oneToTen() {
  int arr[10];

  for (int i = 0; i < 10; ++i) {
    arr[i] = i + 1;
  }

  return arr;
}

int *elevenToTwenty() {
  int arr[10];

  for (int i = 0; i < 10; ++i) {
    arr[i] = i + 11;
  }

  return arr;
}

运行后观察到：调用elevenToTwenty后，oneToTen返回的数组前8个元素变成垃圾值，但最后两个元素始终保持有效（甚至被elevenToTwenty的数组最后两个值覆盖），修改数组大小后依然是最后两个元素未被破坏。

核心原因：未定义行为下的栈帧布局巧合 #

首先必须明确：返回栈上局部变量的指针属于C语言中的未定义行为——标准没有规定这种情况下内存的状态，任何结果都是合法的，包括部分元素看起来“正常”。

具体到这个现象的细节：

• 栈的增长方向通常是从高地址向低地址延伸，函数调用时会创建栈帧，包含局部变量、返回地址、寄存器备份、对齐填充等内容。
• 当oneToTen返回时，栈帧被标记为可复用，但内存不会被主动清零。调用elevenToTwenty时，新的栈帧会覆盖旧栈帧的部分区域，但不是全部。
• 最后两个元素未被覆盖，是因为它们所在的内存区域刚好没有被elevenToTwenty的局部数组、函数调用的返回地址或寄存器备份所覆盖。
• 修改数组大小后依然是最后两个元素“幸存”，和编译器的栈帧对齐规则有关：编译器会将栈帧按固定大小（比如16字节）对齐，函数返回时恢复栈指针的操作，可能不会完全覆盖旧栈帧的末尾区域。同时，两个函数的局部数组大小相同，新数组的起始地址和旧数组重叠，覆盖的是旧数组的前半部分，而末尾的元素刚好落在栈帧的对齐填充区或未被新栈帧数据覆盖的位置。

这种现象是特定编译器、平台下的巧合，换用不同编译器（比如GCC换Clang）、修改编译选项（比如开启-O2优化）或者更换操作系统/CPU，结果可能完全不同——比如所有元素都被覆盖，或者全部保持“正常”，但这些都属于未定义行为的范畴，不能依赖。

内容的提问来源于stack exchange，提问作者The Infinite One