AArch64架构下PSTATE.PAN=1触发翻译错误时，SCTLR_EL1.SPAN=0如何工作？

核心误解纠正 #

你对“进入EL1异常”的判定存在偏差：当已经处于EL1模式时，触发的同步异常（比如页表翻译错误）并不属于ARM规范中定义的“进入EL1异常”场景。规范里的“进入EL1异常”特指从更低特权级（EL0）切换到EL1的情况，EL1内部触发的异常属于同级异常跳转，不会触发SCTLR_EL1.SPAN对应的PSTATE.PAN自动设置逻辑。

PAN状态的实际流转逻辑 #

以XNU的copyin()/copyout()或Linux的copy_from_user()/copy_to_user()为例，完整流程如下：

• 拷贝函数启动时，内核主动将PSTATE.PAN设为0，关闭PAN以允许访问用户空间地址；
• 若此时触发页表翻译错误（无论用户地址缺页还是内核地址问题），进入EL1异常处理流程：
  由于是EL1内部的异常，SCTLR_EL1.SPAN=0不会触发PAN自动置1，PSTATE.PAN会保持之前的0状态；
• 异常处理程序完成页表修复后，执行异常返回（ERET）：
  异常返回时，PSTATE的所有字段（包括PAN）会从SPSR_EL1中恢复——而SPSR_EL1在进入异常时已经保存了触发异常前的PSTATE（即PAN=0的状态）；
• 返回拷贝函数后，剩余的用户空间数据拷贝会正常完成，不会因PAN开启触发panic。

规范未提及异常返回PAN处理的原因 #

异常返回时的PSTATE恢复是ARM架构的通用规则：所有PSTATE字段都会从对应特权级的SPSR_ELx中恢复，不需要单独针对PAN做特殊说明。只有从低特权级进入高特权级的异常，才会触发SCTLR_EL1.SPAN对PAN的自动设置。

XNU与Linux的共性处理逻辑 #

不管是XNU还是Linux内核，都会在用户空间拷贝的临界区维护PAN状态的一致性：

• 进入拷贝前关闭PAN；
• 异常触发时保留PAN的关闭状态；
• 异常返回后恢复关闭状态以完成拷贝；
• 拷贝完成后重新开启PAN，符合内核安全规范。

内容的提问来源于stack exchange，提问作者Félix Poulin-Bélanger