fix(daemon): M65 P1 三条 + P2-1 — popen 超时/共享缓冲、bt scan 有界收割与毫秒节流
来自 M59 内存与资源安全审计（这 3 条 P1 很可能就是 2026-11-11 18:44 设备用户态崩塌的 成因：当时 sshd 连 fork 都做不到、ICMP 仍应答）。执行顺序按审计要求 P1-3 → P2-1 → P1-1 → P1-2。 P1-1 launcherd net.c:popen_read_tmo —— 对持续输出的子进程永不超时 + 堆无限增长 - 新增 meow_launcherd/popen_tmo.h：读循环的 deadline 移到**循环顶部**，输出加 256KB 硬 上限（超限返回 OVERFLOW，调用方 kill 子进程并按失败返回 NULL，绝不静默截断），缓冲交给 调用方或由本函数持有（无 static）。 - net.c 收尸改为 popen_tmo_reap_bounded（300ms + SIGKILL + 300ms）：旧实现 SIGKILL 之后是 无条件 waitpid(…,0)，子进程卡 D 态照样钉死 UI 线程。调用面（malloc 返回值 + free）不变， 14 个调用点零改动。 P1-2 audiod popen_read_tmo 的 static char buf[4096] 被 4 个线程共用 - 改成调用方传缓冲（`char *popen_read_tmo(tmo, cmd, out, cap)`），函数内无共享状态、不加锁 —— M55 刚把音量写路径做成无锁，音频线程上不能拿锁。7 个调用点各用自己的栈缓冲。 - 顺带修掉旧循环的 `remain` 不递减问题：旧写法每次 poll 都能重等满 tmo，最坏总时长 ≈ 4095 次 × 1500ms；现在总时长就是一个 tmo。 P1-3 netmgrd bt_scan_on/off 走无超时 system()（单线程主循环 + 55 个残留 bluetoothctl 的形态） - scan off：直接 run_cmd_ex（BT_SCAN_OFF_TMO_MS=600），超时如实回 MEOW_ERR_NODEV 并计入既有 bt_circuit_note。 - scan on：fork 一个 setsid 的 scan worker（在飞上限 1），worker 内部用 run_cmd_ex 跑同一条 pipeline（超时 + 输出上限）；父进程只记账，bt_scan_reap() 在主循环每拍收割，过 deadline 杀**整个进程组**（pipeline 的 bluetoothctl 是孙进程，只杀 sh 会留孤儿）。 - 超时计入既有熔断（连 3 次 → 30s 内不再 fork）；熔断中 scan on 不再起进程。 - 不在主循环里同步跑整条 pipeline：它要 ~5s（sleep 1 + dwell 4），同步跑等于每 7s 把 DNS 代理停 5s，是另一种挂死。 P2-1 扫描节流失效 7000 秒（mono_now() 返回秒，却与 7000 毫秒比较） - 节流改用 64 位毫秒时钟（bt_scan_now_ms / 函数指针钩子供宿主单测注入可控时钟），抽成纯 函数 bt_scan_throttle(now_ms)；实际节流从 ~1.94 小时恢复到 7s。 测试（每条都有反向控制） - 新增 meow_launcherd/test_popen_tmo.c（已接入 build_launcher.sh test）： 持续输出且永不退出的生产者 → 新循环 300ms 到点返回，旧循环 1500ms 内不返回； `yes`+64KB 上限 → 立刻 OVERFLOW；同一份 300KB 有界输入 → 旧循环照单全收 307200 字节、 新循环在上限处报 OVERFLOW；两线程交错读 → 旧 static 缓冲 A 读到 B 的内容，调用方缓冲各 读各的；收尸 313ms 有界且无残留子进程。 - meow_netmgrd/test_bt_ctl.c 增补：7s / 6.999s / 7.1s 边界（含走真实入口 bt_scan_on 的可控 时钟用例，秒/毫秒单位回归会在这里翻车）；wedge 桩（scan 一律 exec sleep 60）下 scan off 611ms 有界返回且 ECHILD、scan on 的 worker 1200ms 窗口到期被整组收割、孙进程 全收（ECHILD）、超时进熔断并最终熔断拒绝 fork。 验证：netmgrd 宿主回归 79 PASS / 0 FAIL；test_bt_ctl ALL PASS；launcherd `build_launcher.sh test` ALL TESTS PASS（含新增用例）；meow_netmgrd mipsel 交叉编译通过； audiod host 构建通过，test_audiod_host 的失败集合与改动前**逐条相同**（41 条，T8 SEGV 是 测试自身 strstr(q8,"rms=")+4 的既有缺陷，见 M59 审计 §5）。 仅源码：无二进制、未改 scripts/build/fw_content.conf。
This commit is contained in:
AskaEth committed
1 parent
1936cf7b91
commit
1ccb3c7a93
7 files changed
+839
-86
No files matched your search
@@ -1,6 +1,7 @@
|
||||
/* net.c — MeowOS launcher 拆分模块（LAUNCHER_SPLIT_PLAN 拆分）。*/
|
||||
/* 本文件由拆分工具从 meow_launcherd.c 按职责搬移；逻辑与原文 0-diff（仅 static 可见性按跨模块需求调整）。*/
|
||||
#include "meow_launcher_internal.h"
|
||||
#include "popen_tmo.h" /* M65 P1-1：有界读子进程 stdout（deadline 在循环顶部 + 256KB 上限） */
|
||||
|
||||
|
||||
/* wlan0 是否已联网（链路 up，与状态栏 WIFI 指示一致） */
|
||||
@@ -76,7 +77,16 @@ int bt_role(char *desc, int len); /* 前向声明；实现在网络段（用 p
|
||||
* 避免绘制热点反复 spawn。 */
|
||||
|
||||
/* 带超时跑一条命令并读 stdout（防 wpa_supplicant/BlueZ 未跑时命令挂起）。
|
||||
* 返回 malloc 字符串（调用方 free）；超时/失败返回 NULL；子进程超时被 SIGKILL。 */
|
||||
* 返回 malloc 字符串（调用方 free）；超时/失败返回 NULL；子进程超时/超限被 SIGKILL。
|
||||
*
|
||||
* M65 P1-1（M59 审计：'收益最大、改动最小'的一条）：读循环搬进 popen_tmo.h，判据是
|
||||
* ① deadline 在**循环顶部**判 —— 旧实现只在 poll 超时分支里判，而持续输出的子进程
|
||||
* 让 poll 每次立刻返回，deadline 永远轮不到（审计 `yes` 复现：300ms 超时下 8s 不返回）；
|
||||
* ② 输出**硬上限 256KB**，超限按失败返回 NULL（杀掉子进程），**不静默截断** ——
|
||||
* 静默截断会让上层以为拿到了完整输出；
|
||||
* ③ 收尸有界（300ms + SIGKILL + 300ms）：旧实现 SIGKILL 之后是无条件 waitpid(…, 0)，
|
||||
* 子进程若卡在 D 态照样把 UI 线程永久钉住。
|
||||
* 缓冲仍是本函数 malloc、调用方 free（调用面不变，14 个调用点零改动）。 */
|
||||
char *popen_read_tmo(int tmo_ms, const char *cmd)
|
||||
{
|
||||
int fds[2];
|
||||
@@ -96,34 +106,20 @@ char *popen_read_tmo(int tmo_ms, const char *cmd)
|
||||
int fl = fcntl(fd, F_GETFL, 0);
|
||||
fcntl(fd, F_SETFL, fl | O_NONBLOCK);
|
||||
char *out = NULL; size_t cap = 0, len = 0;
|
||||
char tmp[256];
|
||||
int done = 0;
|
||||
unsigned long long deadline = now_ms() + tmo_ms;
|
||||
while (!done) {
|
||||
struct pollfd pfd = { fd, POLLIN, 0 };
|
||||
int pr = poll(&pfd, 1, 25);
|
||||
if (pr < 0) break;
|
||||
if (pr == 0) { if (now_ms() > deadline) break; continue; }
|
||||
ssize_t r = read(fd, tmp, sizeof tmp);
|
||||
if (r > 0) {
|
||||
if (len + (size_t)r + 1 > cap) {
|
||||
size_t nc = cap ? cap * 2 : 512;
|
||||
char *nn = realloc(out, nc);
|
||||
if (!nn) { free(out); out = NULL; break; }
|
||||
out = nn; cap = nc;
|
||||
}
|
||||
memcpy(out + len, tmp, (size_t)r); len += (size_t)r; out[len] = 0;
|
||||
} else if (r == 0) {
|
||||
done = 1;
|
||||
} else if (errno != EAGAIN && errno != EWOULDBLOCK) {
|
||||
done = 1;
|
||||
}
|
||||
}
|
||||
/* 子进程收尸：已退出则不杀；仍在跑（读到 EOF 前超时）则 SIGKILL，防僵尸。 */
|
||||
int status = 0;
|
||||
pid_t rp = waitpid(pid, &status, WNOHANG);
|
||||
if (rp == 0) { kill(pid, SIGKILL); waitpid(pid, &status, 0); }
|
||||
int rc = popen_tmo_read_all(fd, tmo_ms, &out, &cap, POPEN_TMO_MAX, &len, 1);
|
||||
close(fd);
|
||||
if (rc == POPEN_TMO_OVERFLOW) {
|
||||
/* 超上限 = 子进程在无限吐（或输出异常大）：按失败处理，绝不返回半截当完整。 */
|
||||
kill(pid, SIGKILL);
|
||||
free(out);
|
||||
out = NULL;
|
||||
}
|
||||
/* 子进程收尸：已退出则不杀；仍在跑（读到 EOF 前超时/超限）则 SIGKILL，防僵尸。 */
|
||||
if (waitpid(pid, NULL, WNOHANG) == 0) {
|
||||
kill(pid, SIGKILL);
|
||||
if (!popen_tmo_reap_bounded(pid))
|
||||
fprintf(stderr, "[net] popen: child %ld unkillable (D-state) — abandon reap\n", (long)pid);
|
||||
}
|
||||
return out;
|
||||
}
|
||||
|
||||
|
||||
Reference in new issue
Block a user