V8 if语句优化机制解析及TurboFan范围优化bug疑问

问题场景复现 #

触发bug的代码如下：

var i = 'A'.repeat(2**28 - 16).indexOf("", 2**28);
i += 16; // 实际值: i = 2**28, 优化器计算值: i = 2**28-1
i >>= 28; // 实际值 i = 1, 优化器计算值: i = 0
i *= 100000; // 实际值 i = 100000, 优化器计算值: i = 0
if (i > 3) {
  return 0;
} else {
  var arr = [0.1, 0.2, 0.3, 0.4];
  return arr[i];
}

为什么这会成为bug？ #

TurboFan的范围优化对String.indexOf的返回值做了错误的推断：

• 实际执行逻辑：空字符串在超出字符串长度的位置调用indexOf，会返回字符串的实际长度。这里字符串长度是2**28 -16，所以indexOf返回2**28 -16，加16后得到2**28，右移28位结果是1，乘100000后为100000，此时i>3成立，会走if分支返回0。
• 优化器错误逻辑：它错误认为indexOf的返回值是2**28 -17，加16后得到2**28 -1，右移28位结果是0，乘100000后还是0，因此判定i<=3恒成立，直接移除if分支，只保留else分支返回arr[0]（即0.1）。

bug的核心是优化器的范围分析结果与实际执行结果不一致，导致代码逻辑被错误改写，输出了错误的返回值。

V8的if语句优化实现逻辑 #

V8的TurboFan编译器对if语句的优化主要基于以下核心机制：

• 范围分析与常量传播：编译阶段跟踪每个变量的可能取值范围，对表达式做静态计算。如果能确定变量取值完全满足或不满足if条件，就标记对应分支为冗余。比如确定i恒小于等于3时，会直接删掉if分支。
• SSA形式转换：将代码转换为静态单赋值（SSA）形式，每个变量仅被赋值一次，让优化器更清晰地跟踪变量取值流向，简化分支条件的判定逻辑。
• 支配树与冗余分支消除：通过支配树分析判断代码分支的可达性。如果某个分支的条件永远为真或假，该分支会被判定为不可达，直接从编译后的代码中移除。
• 内置函数语义预设：对String.indexOf这类内置函数，优化器会预设其返回值的范围规则。这次bug就是因为该预设规则存在差一错误，导致范围推断出错。
• 类型反馈辅助：结合V8的类型反馈机制，记录函数调用的实际参数、返回值等信息，辅助优化器更精准地判断变量的可能取值，提升优化准确性。

内容的提问来源于stack exchange，提问作者Royi Levy