返回含数组首元素指针的结构体为何未触发无效指针问题？

问题背景 #

运行以下代码：

#include <stdlib.h>
#include <stdio.h>

char* f() {
    char s[] = "Hello, world!";
    return s;
}

int main() {
    printf("%s", f());
    return 0;
}

会打印(null)，原因是char数组仅在f函数的作用域内有效，返回的指针指向已失效的栈内存。

但运行另一段代码：

#include <stdlib.h>
#include <stdio.h>

typedef struct word {
    char* str;
} word;

word f() {
    char str[] = "Hello, world!";
    return (word) { str };
}

int main() {
    printf("%s", f().str);
    return 0;
}

使用gcc 9.4.0（默认gnu11标准）测试时，却能正常打印Hello, world!。对此存在疑惑：该指针指向的数组同样在f函数中创建，作用域结束后应无效，这是未定义行为只是侥幸未被覆盖，还是理解有误？

本质：两种情况都是未定义行为 #

不管是第一个还是第二个例子，返回指向栈局部变量的指针都属于C标准定义的未定义行为——标准没有规定这种情况下程序的具体行为，最终结果完全取决于编译器实现、优化选项、运行时的栈状态等因素，没有任何可预测性。

为何表现出不同结果？ #

1. 第一个例子中，gcc的安全优化机制检测到返回的是指向栈局部变量的指针，直接将该指针置为NULL，以此避免后续访问无效内存引发更严重的错误（比如程序崩溃、数据损坏）。
2. 第二个例子中，返回的是结构体，结构体里的指针只是复制了栈局部变量的地址。在main函数调用printf时，f函数的栈帧还没有被新的栈操作覆盖：因为f返回后立刻执行printf，栈顶的内存区域暂时还保留着原来的字符串数据。但这完全是巧合，只要在f返回后、printf执行前插入任何栈操作（比如调用其他函数、定义新的局部变量），栈内存就会被覆盖，程序大概率会输出乱码或者直接崩溃。

正确的做法 #

永远不要依赖未定义行为的侥幸结果。如果需要从函数返回字符串，推荐以下几种正确方式：

• 使用malloc/calloc进行动态内存分配，调用者使用完后记得用free释放内存；
• 由调用者提前提供缓冲区，函数将字符串写入该缓冲区；
• 返回字符串字面量（字符串字面量存储在程序的只读数据段，生命周期覆盖整个程序运行期间）。

内容的提问来源于stack exchange，提问作者henriman