Go调用WinVerifyTrust API：如何安全传递含指针的结构体至C？

对于Go中调用WinVerifyTrust时的结构体指针传递问题，Go 1.20+引入的runtime.Pinner是比C.malloc更简洁、更符合Go习惯的解决方案，它可以固定Go内存块，避免GC移动内存，让指针安全传递给系统调用。

核心思路 #

Go禁止传递指向Go内存的指针给C/syscall，本质是因为GC可能随时移动Go内存，导致外部持有的指针失效。runtime.Pinner可以把指定的Go值（结构体、字符串底层数组等）固定在内存中，直到调用Unpin，期间内存地址不会改变，指针可以安全传给系统API。

完整代码示例 #

package main

import (
    "errors"
    "runtime"
    "syscall"
    "unsafe"

    "golang.org/x/sys/windows"
)

var (
    wintrust        = windows.NewLazySystemDLL("wintrust.dll")
    winVerifyTrust  = wintrust.NewProc("WinVerifyTrust")
)

const (
    WINTRUST_ACTION_GENERIC_VERIFY_V2 = "{00AAC56B-CD44-11d0-8CC2-00C04FC295EE}"
)

func VerifyFileSignature(path string) error {
    // 转换文件路径为Windows API要求的UTF-16格式
    pathUTF16, err := windows.UTF16PtrFromString(path)
    if err != nil {
        return err
    }

    // 初始化WINTRUST_FILE_INFO结构体
    fileInfo := windows.WinTrustFileInfo{
        StructSize: uint32(unsafe.Sizeof(windows.WinTrustFileInfo{})),
        FilePath:   pathUTF16,
    }

    // 初始化WINTRUST_DATA结构体
    trustData := windows.WinTrustData{
        StructSize: uint32(unsafe.Sizeof(windows.WinTrustData{})),
        UnionIndex: 0, // 指定联合体指向WINTRUST_FILE_INFO
    }

    // 创建Pinner，固定需要传递指针的Go内存
    var p runtime.Pinner
    defer p.Unpin()

    // 固定fileInfo结构体和路径字符串的底层内存
    p.Pin(&fileInfo)
    p.Pin(pathUTF16) // windows.UTF16PtrFromString返回的指针指向Go内存，必须固定

    // 给trustData的联合体字段赋值固定后的指针
    trustData.Union = windows.WinTrustDataUnion{
        FileInfo: unsafe.Pointer(&fileInfo),
    }

    // 解析验证策略的GUID
    policyGUID, err := windows.GUIDFromString(WINTRUST_ACTION_GENERIC_VERIFY_V2)
    if err != nil {
        return err
    }

    // 调用WinVerifyTrust API
    _, _, err = winVerifyTrust.Call(
        0, // HWND_NULL，不需要关联窗口
        uintptr(unsafe.Pointer(&policyGUID)),
        uintptr(unsafe.Pointer(&trustData)),
    )

    if err != syscall.Errno(0) {
        return err
    }

    return nil
}

关键注意事项 #

• 固定所有关联内存：不仅要固定结构体本身，还要固定结构体中指针指向的Go内存（比如示例中的pathUTF16），否则GC可能移动这些内存导致指针失效。
• 及时Unpin：用defer p.Unpin()确保函数退出时释放固定的内存，避免内存泄漏。
• 版本兼容性：runtime.Pinner是Go 1.20才引入的特性，若使用更低版本的Go，只能退而求其次用C.malloc的方式。

为什么不推荐违规的直接转换方式 #

你看到的直接把Go对象转uintptr传给syscall的写法，虽然可能暂时运行，但存在严重隐患：Go的GC完全有可能在系统调用执行过程中移动该Go内存，导致API访问到错误的内存地址，引发程序崩溃或不可预测的行为，属于未定义行为，绝对不能用于生产代码。

内容的提问来源于stack exchange，提问作者tens0r