STM32 firewall场景下callgate最佳实现：如何减少代码同步工作量？

最适合嵌入式MCU场景的方案是基于X宏的单真值源自动生成代码，所有跨防火墙调用的定义只需要维护一处，其余重复代码全部由C预处理器自动展开，完全避免多份代码手动同步带来的失配问题，运行时效率和手写switch完全一致，没有额外开销。

实现思路 #

核心是把所有CallGate入口的功能ID、对外函数名、返回值类型、参数列表，全部统一定义在一个宏表中，功能ID枚举、非安全区调用包装函数、CallGate内部分发逻辑、参数解析代码全部由这个宏表自动生成，新增/修改跨防火墙调用时，只需要改这一个宏表即可。

第一步：定义唯一需要手动维护的入口表 #

这部分是整个实现里唯一需要人工修改的内容：

//  CallGate入口配置表，新增/修改函数仅需编辑此处
//  格式：X(功能ID, 函数基础名, 返回值类型, [参数1类型, 参数1名, 参数2类型, 参数2名...])
#define CALLGATE_ENTRY_LIST(X) \
    X(ID1, function1, int, int, arg1) \
    X(ID2, function2, void, ) \
    X(ID3, function3, int, uint32_t, a, void*, b)

第二步：自动生成依赖代码 #

不需要手动编写功能ID枚举、对外包装函数、switch分支，直接通过宏展开自动生成：

#include <stdarg.h>
#include <stdint.h>
#include "stm32xxxx.h" // 芯片头文件，带__disable_irq/__enable_irq定义

// 1. 自动生成功能ID枚举
typedef enum {
#define X(entry_id, fname, ret_type, ...) entry_id,
    CALLGATE_ENTRY_LIST(X)
#undef X
    CG_ID_INVALID
} FunctionID;

// 辅助宏：适配可变参数的函数形参生成、参数提取
#define CG_CALL_0(inner)  status = inner()
#define CG_CALL_1(inner, t1, n1)  t1 n1 = va_arg(args, t1); status = inner(n1)
#define CG_CALL_2(inner, t1, n1, t2, n2)  t1 n1 = va_arg(args, t1); t2 n2 = va_arg(args, t2); status = inner(n1, n2)
#define CG_CALL_3(inner, t1, n1, t2, n2, t3, n3)  t1 n1 = va_arg(args, t1); t2 n2 = va_arg(args, t2); t3 n3 = va_arg(args, t3); status = inner(n1, n2, n3)
#define CG_GET_NARG(...) CG_GET_NARG_(__VA_ARGS__, CG_CALL_3, CG_CALL_2, CG_CALL_1, CG_CALL_0)
#define CG_GET_NARG_(a1,a2,a3,a4,a5,a6,f,...) f
#define CG_EXEC(inner, ...) CG_GET_NARG(__VA_ARGS__)(inner, __VA_ARGS__)

// 2. 自动生成非安全区对外调用包装函数，自动处理关开中断逻辑
#define X(entry_id, fname, ret_type, ...) \
ret_type fname##_outside(__VA_ARGS__) { \
    ret_type ret; \
    __disable_irq(); \
    ret = (ret_type)CallGate(entry_id, ##__VA_ARGS__); \
    __enable_irq(); \
    return ret; \
}
CALLGATE_ENTRY_LIST(X)
#undef X

// 3. 自动生成CallGate内部分发逻辑
int CallGate(FunctionID id, ...)
{
    va_list args;
    int status = -1; // 默认返回非法调用错误
    va_start(args, id);

    switch (id)
    {
#define X(entry_id, fname, ret_type, ...) \
    case entry_id: \
        CG_EXEC(fname##_inside, __VA_ARGS__); \
        break;
    CALLGATE_ENTRY_LIST(X)
#undef X
    default:
        break;
    }

    va_end(args);
    return status;
}

第三步：编写内部安全区函数 #

内部函数只需要按照宏表里定义的函数名、参数、返回值实现即可，不需要做任何额外适配：

// 安全区内部实现，和普通函数写法完全一致
int function1_inside(int arg1)
{
    return arg1 + 1;
}

void function2_inside(void)
{
    // 无参业务逻辑
}

int function3_inside(uint32_t a, void* b)
{
    return 0;
}

方案优势 #

• 零同步成本：所有入口仅需在宏表中新增一行，不会出现ID不匹配、参数解析错误、漏写switch分支的问题
• 零运行时开销：所有代码都是预处理器展开，和手写的硬编码switch效率完全一致，Flash、RAM占用没有额外增加
• 易扩展：如果需要加参数校验、调用权限检查、调用统计等通用逻辑，只需要在宏定义里修改一次，所有入口自动生效
• 适配性强：支持ARMCC、GCC、IAR等所有STM32常用编译器，不需要C11以上的高级语法特性，C99即可编译通过

额外补充 #

如果使用的是带硬件TrustZone的STM32型号（H5、L5、U5、WBA系列），不需要自己实现软件CallGate，只要将安全区函数通过编译器的安全导出宏声明，链接器会自动生成符合硬件要求的安全网关（SG veneer），跨安全区调用可以直接像普通函数一样传参，连可变参数的开销都没有。

注意实现时尽量使用32位长度的参数类型（int、uint32_t、指针），避免传递char、short等小于32位的类型，防止不同编译器下可变参数对齐规则不一致导致的传参错误。

内容的提问来源于stack exchange，提问作者Christoph