最近遇到了一个问题，一个平时运行没有毛病的模块，被ASAN报heap use after free，问题出在堆内存，但是看上去全局变量没有哪里会被释放，唯一有风险的地方是在栈内存，这就比较有意思了。
局部变量的生命周期
局部变量一般分配在栈内存上，随着函数执行结束而释放：
int foo()
{
int a = 1; //入栈
return a;
}
int main()
{
foo(); //出栈
return 0;
}
如果在main中有变量接收了返回值，那么它就会在堆内存中开辟一块空间：
int foo()
{
int a = 1; //入栈
cout << &a << endl;
return a;
}
int main()
{
int a = foo(); //出栈，main的a复制foo的返回值
cout << &a << endl;
return 0;
}
可以看到两次地址是不一样的。
如果局部变量是个指针，就会导致危险行为：
const char* foo()
{
string s = "hello";
const char * s2 = s.c_str();
cout << s2 << endl;
cout << (void*)s2 << endl;
return s2;
}
int main()
{
const char* s = foo();
cout << s << endl;
cout << (void*)s << endl;
return 0;
}
main的s只是复制了foo返回的地址，而地址指向的内存是已经被释放的，也就是s变成了野指针，这在运行时会造成严重的错误，很容易被发现。
如果是STL容器呢？
typedef map<int,string> SMap;
const char* foo()
{
SMap testMap;
SMap::iterator iter;
string s = "hello";
testMap.insert(make_pair(0,s));
iter = testMap.find(0);
return iter->second.c_str();
}
int main()
{
const char* s = foo();
cout << s << endl;
return 0;
}
这里的main函数可以正常输出"hello"，即使那一块内存已经被释放了，但是对系统来说，那一块内存还是在内存池里泡着，所以并没有被系统释放，通过以下代码可以验证：
typedef map<int,string> SMap;
const char* foo()
{
SMap testMap;
SMap::iterator iter;
string s = "hello";
testMap.insert(make_pair(0,s));
iter = testMap.find(0);
return iter->second.c_str();
}
int main()
{
const char* s = foo();
cout << s << endl;
SMap testMap;
testMap.insert(make_pair(1,"world"));
cout << s << endl;
return 0;
}
它的输出是：
hello
world
可以看到，在main中新建的map覆盖了foo函数中临时map的值，这是由于内存池的机制导致的，对STL来说，这一块内存是已经被释放的，它被标记为空闲，只是内容还暂时保留，所以虽然一开始的s可以输出正确的"hello"，但一旦在调用它之前又创建了新的map并insert了差不多长度的内容的话（长度不等内存池可能会调用别的内存块，可以自行验证），这块内存就会被覆盖，这是非常危险的行为，但是又极其隐蔽，因为只要你调用及时，s的值是完全正确的。
总结
STL容器实现了内存池，内存是预先开辟好，而不是临时申请的，所以即使是一个局部的map，调用insert时，它创建的内容也是在堆上而非栈上，只有容器本身是在栈上，这就导致了局部变量引起heap UAF。
