为何可向malloc分配内存越界写入？realloc报错原因解析

问题1：为何能越界写入到33623位置，访问33624才触发段错误？这个33623的限制是怎么来的？ #

• malloc实际分配的内存会比你请求的32字节（8个int）大，这是内存分配器的常规逻辑：
  • 分配器会按内存对齐要求（比如16字节、内存页大小）分配块，避免内存访问效率问题；
  • 还要预留空间存储内部元数据（比如块的实际大小、空闲链表指针、占用标记等）。
• 能写入到33623位置，是因为这个地址还在当前进程的虚拟内存可访问范围内，且没有触及操作系统标记为不可访问的内存页。此时操作系统未检测到非法访问，所以不会触发段错误。
• 33624这个数字完全不固定：它取决于你的系统内存页大小、分配器的空闲块管理策略、当前进程的内存布局。本质上就是从你分配的内存地址开始，到下一个受保护内存区域的距离刚好是33624个int的大小，超过这个地址就会触发操作系统的内存保护机制，抛出段错误。

问题2：越界写入后调用realloc为何会报realloc(): invalid next size？ #

• 内存分配器会在每个分配的内存块前后存储元数据，比如当前块的大小、下一个空闲块的地址等。当你越界写入时，大概率覆盖了当前块后面的元数据（比如下一个块的大小字段）。
• realloc执行时，首先会读取当前块的元数据，判断是否可以原地扩容，或者需要重新分配新块。如果元数据被越界写入破坏成无效值（比如大小变成负数或不符合分配器规则），分配器就会直接触发断言错误，抛出invalid next size并终止进程——这是分配器检测到堆损坏的保护机制。

问题3：能不能通过请求的内存大小推导实际分配的大小，从而不用realloc？ #

绝对不行，原因如下：

• 分配器策略不透明且不稳定：不同系统（甚至同一系统的不同版本、不同进程状态）的内存分配器（比如glibc的ptmalloc、musl的malloc）行为差异极大。你这次请求32字节拿到了131KB的可写空间，下次可能只拿到64字节，完全没有固定规律。
• 额外空间不属于你：分配器多给的空间是用来存储元数据或做对齐的，属于分配器的内部区域，你没有合法使用权。哪怕越界写入没触发段错误，也会破坏分配器的内部结构，导致后续的malloc/realloc/free出现内存泄漏、堆崩溃、程序莫名终止等诡异问题。
• 违反C标准：C标准明确规定，访问malloc返回的内存块之外的地址属于未定义行为，任何结果都有可能（包括程序正常运行、崩溃、数据损坏），依赖这种行为的代码完全没有可移植性。

内容的提问来源于stack exchange，提问作者milanHrabos