0x0 引子

最近在iOS群里面看到某应用因为Hotpatch审核被拒绝, 如果Hotpatch全面被封禁, 那还不如全切swift, 又能提高性能, 又能减少编码中犯的错误. 仔细想想如果swift也有办法被Hotpatch, 不就更加完美了?
Hotpatch是无法被全面封禁的, 可爱的程序猿们总能有应对的办法

0x1 swift的方法调用方式

swift有四种方法调用方式:

inline method
static dispatch
dynamic dispatch
message send

inline method会在编译期间将被调用的方法直接内联到调用方法的方法体里面, 这种状况下方法调用将没有任何开销.

示例代码如下:

public class aclass {
    public func hehe() {
        clock()
        hehe1()
    }

    public func hehe1() {
        clock()
    }
}

编译后的汇编代码是:

    0x1000e9af8 <+84>:  bl     0x1000ea6c4               ; symbol stub for: clock
    0x1000e9afc <+88>:  bl     0x1000ea6c4               ; symbol stub for: clock

可以看出汇编代码超级简洁, 就只剩两次对clock方法的调用.

static dispatch会通过汇编指令bl跳转到被调用方法所在的地址, 地址在编译期就已经决定. 但因为多了一次bl指令, 会有少量的时间消耗.
对代码做不inline处理:

public class aclass {
    public func hehe() {
        clock()
        hehe1()
    }

    @inline(never) public func hehe1() {
        clock()
    }
}

编译后的汇编代码是:

    0x100051b18 <+124>: bl     0x1000526ac               ; symbol stub for: clock
    0x100051b1c <+128>: bl     0x100052100               ; function signature specialization  of testswift.aclass.hehe1 () -> () at ViewController.swift:40
; hehe1 方法的实现
    0x100052100 <+0>: b      0x1000526ac                 ; symbol stub for: clock

这里比面上多出来一条bl指令, 跳转到hehe1方法所在地址.

dynamic dispatch会生成一张类的方法表(在数据段), 在调用时通过ldr指令从类表取出方法所在的地址到寄存器, 再跳转到方法所在的地址. 这种方式需要3条指令及1次内存访问, 所耗费的时间更长.

代码同第一段代码, 把工程Build Settings的Swift Comipler - Code Generation的Optimization Level调为None, 反编译代码如下:

    0x1000c1ad8 <+28>: ldr    x8, [x30]             ; 从对象中取出class元数据指针
    0x1000c1adc <+32>: ldr    x8, [x8, #88]         ; 从class元数据指针的偏移量88位置取出hehe1方法的地址放入x8
    0x1000c1ae8 <+44>: blr    x8                    ; 跳转到x8中保存的地址处的代码, 也就是hehe1方法
; hehe1 方法的实现
    0x1000c1b08 <+16>: bl     0x1000c2704           ; symbol stub for: clock

注: 此段代码汇编代码经过精简, 代码的解释见注释

message send就是objc_msgSend的流程, 这里暂不多做介绍.

0x2 patch尝试

inline的代码明显没戏, 连独立的方法都没有了, 更没有方法调用.

static的代码也没戏, 调用的方法地址在编译期就决定好了, 无法动态的做改变(代码在__TEXT段, 代码加载到内存后无写权限, 无法更改).

message用oc那一套方案就可以了.

dynamic的代码中, 是通过加载class的元数据中存储的方法地址进行方法调用, 而class元数据位于__DATA段, __DATA段是可以读写的. 那不就意味着采用dynamic方式, 把class的元数据给篡改掉就可以patch了? 我们试试!

先来一段原始代码:

public class aclass {
    public func hehe() {
        hehe1()
    }

    public func hehe1() {
        print("hehe1")
    }
}

按照正常的执行流程, 我们会在调试窗口看到:

hehe1

我想把hehe1这个方法patch到另一个方法的实现(一个c方法):

void patched_hehe1() {
    printf("patched_hehe1");
}

从之前提到的dynamic调用方式的修改class元数据的思路展开说, 我们首先要获取到aclass的class元数据的地址, 再获取到hehe1方法指针在元数据中的偏移量, 再获取patched_hehe1方法的指针, 再塞到class元数据中hehe1方法对应的位置.

开干!

下面实现了patch_hehe1方法, 将hehe1方法给patch成patched_hehe1方法:

void patched_hehe1() {
    printf("patched_hehe1");
}

void write_memory(void **ptr, void *value) {
    *ptr = value;
}

void *get_patch_method_address() {
    return &patched_hehe1;
}

void *get_class_meta_address() {
    Class aclass = NSClassFromString(@"testswift.aclass");
    return (__bridge void *)aclass;
}

long get_method_offset(void *class) {
    void * raw_method_address = dlsym(RTLD_DEFAULT, "_TFC9testswift6aclass5hehe1fT_T_");
    for (long i=0; i<1024; i++)="" {="" if="" (*(long="" *)(class+i)="=" (long)raw_method_address)="" return="" i;="" }="" -1;="" void="" patch_hehe1()="" *method_address="get_patch_method_address();" 获取patched_hehe1方法的地址="" *class_meta_address="get_class_meta_address();" 获取aclass="" metadata的地址="" long="" offset="get_method_offset(class_meta_address);" 获取偏移量="" write_memory(class_meta_address+offset,="" method_address);="" 篡改metadata中的方法指针="" <="" code="">

调用patch_hehe1方法后, aclass的hehe1方法就被patch掉了! 运行程序看调试窗口的结果:

patched_hehe1

patch成功!

0x3 局限性

在前面提到, 为了实现让swift走dynamic dispatch, 将编译选项中的优化级别设为了None. 那如果将优化级别恢复为Fast后情况会变成什么样呢?

hehe1方法被inline, patch无效, 输出hehe1

那么问题来了! 你愿意牺牲性能换取动态性么?

0x4 参考

Swift Method Dispatch: http://stackoverflow.com/questions/24014045/does-swift-have-dynamic-dispatch-and-virtual-methods?answertab=votes#tab-top
Increasing Performance by Reducing Dynamic Dispatch: https://developer.apple.com/swift/blog/?id=27