静态分配与恒定工作量：TigerBeetle 的两条内存安全与性能纪律

概述

这是 matklad（TigerBeetle 工程师）回复一封关于'内存安全最难问题'邮件的技术随笔。作者去年写限价撮合引擎时发布过一个 use-after-free：被取消的订单在仍挂在其价格档链表里就被归还到内存池，下次分配把同一块内存给新订单，陈旧链接仍能解析。初看像是'生命周期没管好'，但本质上这是带标签的联合体（tagged union）里标签没被类型系统追踪的情形。他给出两条来自 TigerStyle/TigerBeetle 的规避套路。第一条是静态分配：'初始化之后不再动态分配内存'，启动时用 --orders-max=1000000 指定上限并一次性分配，运行时超限就拒绝——满负荷下无严格上限的系统会灾难性失败（OOM killer 可能杀掉整个撮合引擎）。第二条是恒定工作量：与其维护活跃订单集合，不如引入一个中性 no-op 的保留订单（reserved），订单数量守恒地在系统里流动，总是遍历全量并对保留位做空操作。这样不再需要单独追踪'活跃订单'，且全量遍历更利于编译器向量化与 CPU 预取，P100 延迟随负载保持平直。作者坦承这些是装备库里的技巧，并非放之四海皆准。