C语言返回栈变量地址异常：函数返回null而非char数组地址

我尝试复现C语言中「函数返回栈变量地址」的问题，同时想观察函数处理栈、堆、常量字符串的不同结果，但实际运行时函数返回的却是NULL。调试时能看到copy数组确实被正确赋值为小写字符串，但就是返回不了它的地址，这是怎么回事？

对应的测试代码如下：

#include <stdio.h>
#include <ctype.h>
#include <string.h>
#include <stdlib.h>

char *lowercase3(const char* str) {
    char copy[strlen(str) + 1];
    for (int i = 0; i <= strlen(str); i++) {
        copy[i] = tolower(str[i]);
    }
    return copy;
}

int main() {
    char stack[13] = "Le Land";
    char heap[13] = "Standford";
    char const* const_literal = "Hello World!";

    char* result1 = lowercase3(stack);
    char* result2 = lowercase3(heap);
    char* result3 = lowercase3(const_literal);
    // print stack heap and const_literal
    printf("stack: \"%s\", result: \"%s\"\n", stack, result1);
    printf("heap: %s, result: %s\n", heap, result2);
    printf("const_literal: %s, result: %s\n", const_literal, result3);
}

核心原因：编译器安全机制的拦截 #

你遇到的情况是现代编译器主动阻止了返回栈变量地址的行为，而非代码逻辑错误直接导致返回NULL。

在C语言中，char copy[strlen(str) + 1];是一个变长数组（VLA），它被分配在函数的栈帧上。当函数执行完毕返回时，当前栈帧会被销毁，栈上的所有变量（包括copy）都会被标记为无效内存。返回这个地址属于未定义行为——理论上可能返回一个野指针，但现在主流编译器（如GCC、Clang）默认开启栈保护机制，会直接将返回值替换为NULL，避免后续使用野指针引发程序崩溃或内存乱序问题。

补充：未定义行为的不同表现 #

你预期的「返回栈变量地址」属于未定义行为，在不同环境下表现会有差异：

• 旧版本编译器或关闭栈保护选项时，可能确实会返回栈地址，但后续访问该地址时，内容大概率会被其他函数调用的栈操作覆盖，出现乱码或不可预测的值。
• 现代编译器默认开启安全检查，会直接返回NULL，甚至在编译阶段就抛出警告或错误。

正确实现方案 #

如果需要返回处理后的字符串，有两种常用的合规方式：

1. 调用者提供缓冲区
   让调用方提前分配好内存（栈或堆上均可），函数直接在该缓冲区中处理：

char *lowercase3(const char* str, char* dest, size_t dest_size) {
    if (dest == NULL || dest_size < strlen(str) + 1) {
        return NULL;
    }
    for (size_t i = 0; i <= strlen(str); i++) {
        dest[i] = tolower(str[i]);
    }
    return dest;
}

2. 函数内部在堆上分配内存
   使用malloc在堆上开辟内存，返回该地址，注意调用方需要手动free避免内存泄漏：

char *lowercase3(const char* str) {
    size_t len = strlen(str);
    char* copy = malloc(len + 1);
    if (copy == NULL) {
        return NULL;
    }
    for (size_t i = 0; i <= len; i++) {
        copy[i] = tolower(str[i]);
    }
    return copy;
}

内容的提问来源于stack exchange，提问作者Thuc Hoang