Go unsafe.String 如何避免把非字符串内存误用

用 unsafe.String 做零拷贝转换时，最容易犯的错误不是 API 写错，而是把“某个地址”误认为“字符串数据”。它只接收一个字节首地址和一个长度，不会检查这段内存来自 []byte、结构体还是已经失效的缓冲区。真正可靠的判断是：这段内存必须连续、边界明确，在返回的字符串存活期间保持有效，并且不能再被修改；只要其中一项无法证明，就用普通转换复制数据。

unsafe.String 的 ptr 和 len 必须来自同一段连续字节

unsafe.String(ptr, len) 的语义可以压缩成一句话：从 ptr 开始，把连续的 len 个字节看成一个字符串。它不会扫描结尾的 \0，也不会自动寻找字符串长度。运行时会拒绝负长度，以及“非零长度配 nil 指针”这两种明显错误。

如果输入本来就是 []byte，指针和长度应当来自同一个切片，不要一个来自切片、另一个来自猜测或另一个对象。Go 1.20 起可以用 unsafe.SliceData 取得切片底层数组首地址：

package main

import "unsafe"

// bytesView 只建立只读字符串视图，不复制字节。
// 空切片直接返回空字符串，避免把无意义的首地址传给 unsafe.String。
func bytesView(b []byte) string {
	if len(b) == 0 {
		return ""
	}
	// len(b) 就是字节数；返回值仍然借用 b 的底层数组。
	return unsafe.String(unsafe.SliceData(b), len(b))
}

这里的“字符串”仍然是字节序列，不等于经过 UTF-8 校验的文本。若业务要处理用户可见文字，另行使用 utf8.Valid 判断；若只是协议帧、哈希键或二进制标识，不能因为类型是 string 就假设它一定是 UTF-8。

先把长度、空值和边界写成可检查的条件

从外部缓冲区得到指针时，最少要把四个问题分开判断：地址是否为空、长度是否为零、长度是否超出实际分配、长度从其他整数类型转换为 int 时是否发生截断。unsafe.String 只负责最后的视图构造，不负责替调用方完成这些检查。

尤其不要把 uintptr 当成长期保存的指针。地址转成整数后不再承担保持对象存活的作用；如果地址来自 C 缓冲区，还必须让 C 内存的释放责任覆盖整个字符串使用区间。对长度做了检查，也不能弥补错误的所有权。

生命周期和可修改性决定能不能零拷贝

普通字符串是不可变的，而 unsafe.String 不会复制底层字节。因此下面这种写法即使短时间内看起来正常，也把字符串和可变切片绑在了一起：

// viewAndReuse 展示一个不应返回给长期调用者的借用关系。
func viewAndReuse(buf []byte) string {
	// 该字符串仍指向 buf；调用方不能在它存活时清空或复用 buf。
	return unsafe.String(unsafe.SliceData(buf), len(buf))
}

如果 buf 来自池化对象、下一次读取会覆盖它，或者底层内存即将被 free，就不要返回这个视图。此时应当明确复制：

// ownedString 把可变输入复制成独立的字符串所有权。
func ownedString(b []byte) string {
	// 普通转换适合跨 goroutine、跨缓存池或跨函数长期保存。
	return string(b)
}

零拷贝适合“源数据稳定、只读、生命周期由调用方明确管理”的窄场景，例如在一次解析调用内借用不可复用的字节块。跨层返回、放入缓存、交给异步任务时，复制通常更容易审查，也更容易让后续维护者理解。

四项检查能帮你决定保留还是复制

把转换封装在小函数里，并在代码评审中逐项回答下面的问题，比在调用点重复写一串指针转换更稳妥：

1. 这是不是一段明确的连续字节，而不是结构体布局、字段填充或某个整数的内存表示？
2. ptr 和 len 是否来自同一个拥有者，长度是否仍在真实分配范围内？
3. 字符串存活期间，源字节是否绝不会被写入、复用、回收或释放？
4. 调用方是否需要独立所有权？如果答案是“需要”或“说不清”，就写 string(b)。

最后，unsafe.String 的价值是省掉一次已知安全边界内的复制，不是把任意内存变成可信文本。把输入、长度和生命周期写在同一处，才能让这次优化有可解释的收益。

常见问题

unsafe.String 会自动保证 UTF-8 吗？

不会。Go 的字符串可以包含任意字节；需要文本语义时，应单独做 UTF-8 校验或按协议解码。

为什么不直接用 string(b)？

string(b) 让结果拥有独立数据，适合跨函数和长期保存；只有在复制成本确实关键且生命周期可证明时，才考虑借用视图。

源切片不再使用后，unsafe.String 还能继续用吗？

不能用“切片变量不再使用”推断底层字节可安全回收或修改。字符串仍在使用时，底层内存必须有效且保持不变；无法证明就复制。