Go unsafe.StringData 返回的指针什么时候不能长期保存

排查字符串零拷贝代码时，最容易混淆的是“指针还在”和“地址还能用”。unsafe.StringData(s) 返回的是指向字符串底层字节的 *byte，不是一段可以随意修改、也不是可以转成整数后长期保存的内存凭证。

在 Go 代码里保存并继续使用 *byte，前提是只读、范围不超过 len(s)，且字符串不是空串；一旦转成 uintptr、交给 C 代码长期持有，或需要可写/NUL 结尾数据，就应改为复制。runtime.KeepAlive 只能延长一次调用期间的可见生命周期，不能把借用变成长期所有权。

先把 unsafe.StringData 的返回值看成只读借用

官方文档对它的定义很短：函数返回字符串底层字节的指针。长度仍然来自原来的字符串值，指针本身没有携带长度，也没有自动补上 C 风格的 \0。因此读取时要先判断长度，再把 len(s) 作为独立边界。

package main

import "unsafe"

func firstByte(s string) byte {
	// 空字符串没有可读取的第一个字节，先返回约定值。
	if len(s) == 0 {
		return 0
	}
	p := unsafe.StringData(s)
	// p 只用于只读访问，读取范围由 s 的长度决定。
	return *p
}

这里的“借用”表示这段存储仍属于字符串：不能写入，不能把 p 当成长度信息，也不能因为某次实现返回了稳定的空指针就依赖该行为。需要可写缓冲区时，直接使用 []byte(s)；需要 C 字符串时，使用会复制到 C 堆的 C.CString，并在使用后释放。

保存 *byte 和保存 uintptr 是两回事

如果数据只在 Go 内部继续使用，保存一个真正的 *byte，它仍是垃圾回收器能够识别的 Go 指针。只要它没有越过原对象范围、没有被写入，通常可以作为只读引用传给后续 Go 函数。真正危险的变化是把它变成 uintptr：整数不具备指针语义，既不能让 GC 继续追踪对象，也不能保证稍后转回指针时仍然有效。

var savedAddr uintptr

func rememberAddress(s string) {
	if len(s) == 0 {
		return
	}
	p := unsafe.StringData(s)
	// 错误示例：uintptr 只是地址数值，不是保活引用。
	savedAddr = uintptr(unsafe.Pointer(p))
}

func useLater() byte {
	// 错误示例：不能把保存的整数当成可长期恢复的 Go 指针。
	return *(*byte)(unsafe.Pointer(savedAddr))
}

如果底层接口要求把地址转成整数，转换和调用必须出现在同一个表达式中，并在调用结束前让原字符串保持可见；必要时可在调用之后使用 runtime.KeepAlive(s)。但这只解决一次同步调用的保活提示，不允许把地址放进全局变量、定时任务或异步队列。

传给 C 或跨边界时为何不能长期借用

cgo 的规则比“能不能读到”更严格：传给 C 的 Go 指针只在允许的调用期间受保护，C 代码不能在调用返回后继续保存未固定的 Go 指针。字符串本身也不能用 runtime.Pinner 固定，因此不要把 unsafe.StringData 的结果写入 C 的全局缓存、异步任务或对象字段。

如果 C 函数只在本次调用中读取，接口应同时传递指针和长度，并保证 C 不修改内容；如果 C 需要长期持有、要求以 \0 结束，或者调用会异步返回，复制才是清晰的所有权边界：

/*
#include 
// use_text 只在调用期间读取 text，不保存指针。
void use_text(const char *text);
*/
import "C"
import "unsafe"

func sendToC(s string) {
	// C.CString 复制到 C 堆，并补充 NUL 结尾。
	cs := C.CString(s)
	defer C.free(unsafe.Pointer(cs)) // C 堆由调用方负责释放。
	C.use_text(cs)
}

复制的代价是一次分配和拷贝，但它把生命周期交给 C 堆，适合跨线程、跨回调或长期缓存。若只是 Go 内部的同步扫描，则保留 *byte 并把长度一起传递，通常更容易解释，也更容易撤回优化。

工程落地检查清单

审查这类代码时，先问“谁拥有字节、谁决定长度、谁会在什么时候释放”，再看是否真的需要零拷贝。很多场景中，把字符串转成普通字节切片或复制到目标运行时，比维护一条 unsafe 路径更稳妥。

常见问题

空字符串调用 unsafe.StringData 会一定返回 nil 吗？

不一定。官方文档明确说返回值未指定，可能为 nil，所以不能解引用，也不要把 nil 与非 nil 当作空串判定依据。

保存 *byte 后还必须保存原字符串变量吗？

在 Go 内部只读使用时，真正的 Go 指针本身会被 GC 识别；但代码仍必须遵守对象范围和只读约束。若随后把它转成 uintptr，保活语义就丢失了。

runtime.KeepAlive 能解决 C 长期保存指针吗？

不能。它只保证对象在某个 Go 调用点之前保持可达，不能改变 cgo 禁止 C 在调用返回后保留字符串指针的规则。长期使用应复制数据或传递句柄。

unsafe.StringData 返回的字节可以当 C 字符串吗？

不能直接假设有 NUL 结尾。需要 C 字符串时使用 C.CString 或按长度设计 C 接口，并明确释放复制出的 C 内存。

资料入口：unsafe 包文档、cmd/cgo 指针传递规则。