span 与 string_view：不拥有的视图怎么用才安全

1. 零拷贝快，悬垂更快

lidar driver 把 UDP payload 包成 span<const uint8_t> 传给 decode，下一帧 buffer 复用后异步 worker 仍在读——UAF。config 热更新路径里写 string_view v = fmt::format("mode={}", m);，下一行 v 已悬垂。根因相同：view 不延长被观察对象的 lifetime，只表达「此刻这块内存可读」。调用方若把 view 存进队列、缓存、成员变量，而没有 owning copy，等于把悬垂风险扩散到全 pipeline。

protocol parse、ROS message 字段切片、Eigen 前的 raw float 缓冲——都适合 span/view，但 API 必须把 lifetime 契约写进文档，否则零拷贝变成零安全。比拷贝慢的是 crash 和间歇性错数。review 时看到函数参数是 span 却返回同一块内存的 subspan 给异步 caller，要问 release 语义谁负责。

2. span：连续、不拥有、不 NUL 终止

C++20 std::span<const std::byte> 表达一段连续内存；别当 C string 用，没有 \0 保证。边界检查集中在入口：subspan(0, 4) 读 magic 前先 size() >= header_size，避免 silent 读越界。

cpp

void parse_packet(std::span<const std::byte> payload) {
  if (payload.size() < 4) return;
  uint32_t magic = read_u32(payload.subspan(0, 4));
}

C++17 可用 gsl::span；与 std::ranges 算法配合时确保 contiguity——非连续容器先 materialize 再 span 化，别混 iterator category。转 string 显式 (ptr, size)，仅当确定 encoding。

3. string_view 与 ROS message

从 std::string 取 view 时 string 必须仍存活。ROS message 的 data() + size() 可包 span，但 callback 返回后 message storage 可能复用——要 copy 到 owning string，或在本 callback 内完成 parse。

cpp

void onPacket(std::span<const std::byte> pkt) {
  queue_.push(std::vector<std::byte>(pkt.begin(), pkt.end()));
}

config 快照我们改成 shared_ptr<const Config>：view 指向快照，生命周期与读者一致。string_view 不 NUL 终止，别传给期待 C string 的旧 API。

4. 与 Eigen Map 的衔接

连续 float buffer 可 Map 成向量，但 span.size() 必须与 Map 维度一致，且 buffer lease 长于 Map 使用期。非连续 buffer 强转 span 是逻辑错，不是性能优化。

cpp

void process(std::span<const float> xyz) {
  assert(xyz.size() % 3 == 0);
  Eigen::Map<const Eigen::Matrix<float, Eigen::Dynamic, 3, Eigen::RowMajor>>
    pts(xyz.data(), xyz.size() / 3, 3);
}

5. driver 双缓冲契约

异步 decode 时 driver 须 copy，或保证双缓冲直到 releaseBuffer(idx) 后才 reuse。API review 默认：span 参数不拥有内存，@pre buffer valid until callback returns。存 member span 指向上一帧 storage 是 recurring bug——code review 专查「span 进成员变量」。

lidar driver 回调给 payload，若在 callback 返回后仍异步读 payload，必 UAF。契约写清：异步处理须 copy 或 driver 保证双缓冲直到 release API 调用。

6. 案例：异步 decode 的 UAF

某 lidar 节点在 callback 里把 payload span 交给线程池，driver 双缓冲未 hold release API——偶发 parse 出 magic 全零，复现率随负载升高。修法二选一：callback 内 copy 到 vector<byte>，或 driver 契约改为 consumer 调 releaseBuffer 后才 reuse。文档写清后，同类 bug 不再复现。此类问题在 code review 若只盯算法不看 lifetime，会反复进主干；driver 与 perception 的接口评审须含「callback 返回后 buffer 是否仍有效」一问。

7. API 设计与文档

公开 API 用 @lifetime 标注 buffer 有效区间。C++17 项目用 gsl::span 时 Include 策略要统一。ROS PointCloud2.data span 绑 message shared_ptr lifetime——别假设 layout 跨版本不变。plugin 边界传 span 时，文档说明谁负责 copy。

8. 与参数、配置视图的区别

参数系统里读到的字符串往往有 owning storage；span/view 只适合「借来看一眼」的路径。config 热更新若返回 view 指向内部 mutable buffer，下一帧 reload 会 silently 改读端所见——应返回 immutable 快照或 copy。与 declare_parameter 的字符串不同，driver payload 的 view 生命周期以 callback 为界，不能套参数缓存模式。

10. 与录包、联调

联调时把 span 生命周期 bug 当成「偶发 bad packet」——录 bag 复现却难，因为 race 窗口小。stress 测试应 callback 内同步 decode + 异步 decode 两路，强制暴露 UAF。文档模板：onPacket(span) 的 buffer 在 callback 返回前有效；异步须 copy。新 driver 接入 checklist 含此项，比事后 valgrind 便宜。

文本 view 不等于二进制安全：UTF-8 多字节字符可能被截断在 view 中间，parse 须按 byte 边界或转 owning string 再解码。二进制 protocol 用 span<const byte>，日志打印 hex 时别直接把 view 当 %s。单元测试覆盖空 span、零长度合法包、超长 claim 等边界，入口拒绝比 downstream 崩溃便宜。

10. 验收

clang-tidy bugprone-dangling-handle 对新增 API 清零。
单元测试：span 短于 claim 长度、callback 返回后异步读——应 fail 或 copy。
fuzz corrupt len 字段，入口集中拒绝，不穿透下游。
文档含 @lifetime：有效区间与 release 语义。
driver 双缓冲：releaseBuffer(idx) 后才 reuse。

view 不延长 message 寿命；API 文档写清 callback 边界与 release 语义，联调 checklist 强制过一遍。span 进成员变量须 code review 双签。与 loaned message 联用时，归还后任何 subspan 立即失效——decoder 须在 loan 窗口内完成或 copy。