为何用Python ctypes调用两个仅参数差异的C函数返回值不同？

我实现了两个C函数：

void testFunc1(int **a)
{
    int temp[4] = {1,2,3,4};
    *a = temp;
}

void testFunc2(int **a, int b)
{
    int temp[4] = {1,2,3,4};
    *a = temp;
}

两个函数都试图让*a指向temp数组的首地址，通过指针a返回该数组。参数b未被使用，添加它是因为发现会导致异常结果。随后我将代码编译为./test.dll。

用Python的ctypes库调用这两个函数的代码如下：

from ctypes import *

testdll = CDLL("./test.dll")
testdll.testFunc1.argtypes = (POINTER(POINTER(c_int)),)
testdll.testFunc2.argtypes = (POINTER(POINTER(c_int)), c_int)

print("Test func 1:")
a = pointer(pointer(c_int(-1)))
print("  Before calling func:")
print(f"                      a={a}")
print(f"             a.contents={a.contents}")
print(f"    a.contents.contents={a.contents.contents}")
testdll.testFunc1(a)
print("  After calling func:")
print(f"                      a={a}")
print(f"             a.contents={a.contents}")
print(f"    a.contents.contents={a.contents.contents}")

print("Test func 2:")
a = pointer(pointer(c_int(-1)))
print("  Before calling func:")
print(f"                      a={a}")
print(f"             a.contents={a.contents}")
print(f"    a.contents.contents={a.contents.contents}")
testdll.testFunc2(a, c_int(4))
print("  After calling func:")
print(f"                      a={a}")
print(f"             a.contents={a.contents}")
print(f"    a.contents.contents={a.contents.contents}")

输出结果：

Test func 1:
  Before calling func:
                      a=<__main__.LP_LP_c_long object at 0x00000263EC1B2CD0>
             a.contents=<__main__.LP_c_long object at 0x00000263EC1B2D50>
    a.contents.contents=c_long(-1)
  After calling func:
                      a=<__main__.LP_LP_c_long object at 0x00000263EC1B2CD0>
             a.contents=<__main__.LP_c_long object at 0x00000263EC1B2DD0>
    a.contents.contents=c_long(1)
Test func 2:
  Before calling func:
                      a=<__main__.LP_LP_c_long object at 0x00000263EC1B2E50>
             a.contents=<__main__.LP_c_long object at 0x00000263EC1B2CD0>
    a.contents.contents=c_long(-1)
  After calling func:
                      a=<__main__.LP_LP_c_long object at 0x00000263EC1B2E50>
             a.contents=<__main__.LP_c_long object at 0x00000263EC1B2BD0>
    a.contents.contents=c_long(0)

结果显示testFunc2似乎让*a指向了值为0的整数。仅添加了一个未使用的参数b，为何testFunc2与testFunc1的返回结果不同？

这两个函数的行为差异本质是栈上局部变量的生命周期问题，属于未定义行为的表现。

核心问题：局部数组temp的生命周期 #

C函数中的temp是栈上分配的局部数组，当函数执行完毕返回后，该数组所在的栈帧会被销毁，对应的内存区域会被标记为可复用。此时让*a指向这个已经失效的内存地址，后续访问该地址的行为是未定义的——可能读取到旧值，也可能被其他操作覆盖成随机值，完全取决于栈的使用情况。

为什么两个函数表现不同？ #

函数的栈帧布局会因参数数量不同而变化：

• testFunc1只有一个参数，栈帧中temp数组的位置在函数返回后，可能还没被后续的函数调用（比如Python的打印函数）覆盖，所以侥幸读取到了原来的1。
• testFunc2多了一个未使用的参数b，栈帧的结构发生了变化：参数b会被压入栈中，占据了一部分栈空间，导致temp数组的位置在函数返回后，更快被后续操作（比如函数返回时的栈清理、Python的打印操作）覆盖，所以读取到了被覆盖后的0。

这种差异完全是偶然的，本质上两个函数的写法都是错误的——不能返回栈上局部变量的地址。

正确的做法 #

如果需要从C函数返回数组，你有几种可选方案：

• 使用malloc在堆上分配内存，返回堆地址（注意后续要手动释放，避免内存泄漏）。
• 让调用者提前分配好内存，将内存地址传入函数，由函数填充数据。
• 使用静态数组（static int temp[4] = {1,2,3,4};），但静态数组是全局存储区的，多线程环境下要注意线程安全问题。

内容的提问来源于stack exchange，提问作者AsheofMidgard