刷微博看到大佬分析评价了一个库对野指针拦截处理，通读之后若有所思，随即点了收藏。

大概过了两周，重新翻看这条分析，发现自己并没有完整理解消化了这个野指针拦截原理，之前收藏的时候评论了原博，希望博主贴个源码地址学习一下～然而大佬并没有回复，于是自己试着用截图里的keyword去搜了下，最终还是找到了--> JJException

这个库的野指针拦截处理的原理其实就是模仿Xcode的僵尸对象捕获的功能（即Zombie）

Zombie.png

套用大佬的话：hook了dealloc，然后对该对象的内存做个废弃的标记但是不释放，之后替换该对象所属的类，对替换的类添加一个通用的方法识别，只要有调用任何一个方法就属于野指针，日志上报即可。

那么，我们从代码层面看一下是具体是怎么实现的：

@implementation NSObject (ZombieHook)
+ (void)jj_swizzleZombie{
    [self jj_swizzleInstanceMethod:@selector(dealloc) withSwizzleMethod:@selector(hookDealloc)];
}

- (void)hookDealloc{
    Class currentClass = self.class;
    //Check black list（如果该类在黑名单中，则还是走原有dealloc方法）
    if (![[[JJExceptionProxy shareExceptionProxy] blackClassesSet] containsObject:currentClass]) {
        [self hookDealloc];
        return;
    }
    //Check the array max size
    if ([JJExceptionProxy shareExceptionProxy].currentClassSize > MAX_ARRAY_SIZE) {
        id object = [[JJExceptionProxy shareExceptionProxy] objectFromCurrentClassesSet];
        [[JJExceptionProxy shareExceptionProxy] removeCurrentZombieClass:object_getClass(object)];
        object?free(object):nil;
    }
    objc_destructInstance(self);//注1:销毁该对象的引用关系
    object_setClass(self, [JJZombieSub class]);//注2:替换该对象所属的类
    [[JJExceptionProxy shareExceptionProxy] addCurrentZombieClass:currentClass];
}
@end

首先用Category的方式Hook NSObject的dealloc方法，野指针发生的前提是：这个对象的内存已经被系统回收了，对象调用方法时指向的是一个已经被回收了的，无效的内存地址。对象被回收必走dealloc方法，因此Hook这个方法是一个很好的切入点。

接着通过runtime替换该对象所属的类，注意这是一个通用的类（JJZombieSub）。所有的野指针方法的Class都会被替换成JJZombieSub。

替换该对象所属的类干啥？接下来我们把目光移到JJZombieSub这个替代类。

@interface JJZombieSub : NSObject
@end

@implementation JJZombieSub
- (id)forwardingTargetForSelector:(SEL)selector{
    NSMethodSignature* sign = [self methodSignatureForSelector:selector];
    if (!sign) {//注3:获取所调方法的签名，如果签名不存在则说明该Target下没有这个selector。
        id stub = [[ZombieSelectorHandle new] autorelease];
        [stub setFromObject:self];//注4:生成一个后续处理的对象，并绑定原类的信息，用于上传日志时标记是哪个类出现了野指针。
        class_addMethod([stub class], selector, (IMP)unrecognizedSelectorZombie, "v@:");
        return stub;//注5:将所调方法添加到后续处理类上ZombieSelectorHandle，并替换该方法的IMP（即最终执行unrecognizedSelectorZombie方法）
    }
    return [super forwardingTargetForSelector:selector];
}
@end

这个通用替代类里重写了forwardingTargetForSelector:方法，这个方法属于消息转发机制里的第二步，重写这个方法可以动态的去替换所调方法的Target。

这里重写这个方法就是为了将野指针的方法重定向到后续处理对象上执行。

消息转发三部曲

@interface ZombieSelectorHandle : NSObject
@property(nonatomic,readwrite,assign)id fromObject;
@end

@implementation ZombieSelectorHandle
void unrecognizedSelectorZombie(ZombieSelectorHandle* self, SEL _cmd){
}
@end

这个ZombieSelectorHandle就是最终要处理野指针、上传日志的类。unrecognizedSelectorZombie方法有两个参数：后续处理对象和野指针方法的SEL，后续处理对象的fromObject属性即是野指针方法所属的类。

拿到了发生野指针的类名和方法名，在unrecognizedSelectorZombie方法中去上传日志，以便于后续的排查。

代码层面的流程就出来了：

-->Hook NSObject的dealloc方法
-->将野指针发生的类替换为JJZombieSub通用类
-->消息转发时重定向野指针方法的类为ZombieSelectorHandle处理类、同时替换野指针发生的方法为通用的unrecognizedSelectorZombie方法。
--> ZombieSelectorHandle对象的unrecognizedSelectorZombie进行日志上传。

为什么作者要转换两次类JJZombieSub、ZombieSelectorHandle而不是直接全部在JJZombieSub中处理？

我猜测应该是基于设计层面去考虑的，JJZombieSub只负责拦截、ZombieSelectorHandle负责后续处理，互不干扰各司其职。

一点思考：

在看到大佬的那条微博前，自己用过Zombie，但是基本没去考虑过系统的Zombie是怎么去处理的，对原理的好奇心还远远不够，好奇心是进步的源动力啊，fighting～