为何CPU推测执行不会引发数组越界程序崩溃？

这个问题问到了Spectre攻击最核心的细节——本质是推测执行的所有操作都处于CPU的「临时 speculative 状态」，并没有真正进入程序的正式执行流，具体可以从这几个角度理解：

• 正常执行与推测执行的错误触发逻辑完全不同
  平时程序越界访问崩溃（比如Linux的segmentation fault），是因为访问了不属于当前进程的内存页，操作系统的内存管理单元（MMU）会触发页错误中断，进而终止程序。但这种错误检查是在操作被提交到程序的正式执行状态时才会触发的。而推测执行的操作只是CPU为了提前计算而做的“预演”，完全没走到提交这一步。

• CPU会自动回滚推测执行的大部分副作用（除了缓存）
  当CPU发现分支预测错误时，会立刻丢弃所有推测执行产生的临时结果：比如寄存器里的临时值、还没写入内存的数据，都会被清空。甚至连指令执行的顺序痕迹都会被抹掉——唯一留下的是缓存的状态变化（这也是Spectre攻击能利用的核心点）。而越界访问带来的“非法内存访问”本身，因为没有真正提交，所以根本不会触发MMU的页错误检查，自然不会让程序崩溃。

• 推测执行的设计目标就是允许「试探性」操作
  CPU引入推测执行的目的是提升性能，它必须允许自己做一些可能“不正确”的预计算，只要能在后续验证分支正确后快速提交结果，或者错误时快速回滚。如果推测执行时的任何错误都会触发崩溃，那这个功能就完全失去了意义——毕竟分支预测不可能100%正确。

举个你提到的C代码例子：

int arr[42]; 
if (i < 42) { 
    int j = arr[i]; 
}

当i >=42时，CPU错误地预测分支为真，推测执行了int j = arr[i];。这个操作会把arr[i]对应的内存内容加载到CPU缓存里，但不会真正把值赋值给j，也不会触发页错误。当CPU很快发现分支预测错误后，会直接丢弃这个推测操作的所有临时结果，程序继续执行正确的分支，全程不会有任何崩溃迹象——而攻击者就是通过检测缓存里的内容来窃取那个越界访问到的数据。

内容的提问来源于stack exchange，提问作者lukeg