Fun 技术总览：开源十五天

# Fun 技术总览：开源十五天

2026-08-31 核心仓库开源，到九月中旬，版本号从 v9.0 走到 v9.1。十五天，十一个版本，八十四次提交，主线其实只有一条：把 Fun 从「能在 Linux 上编译」推进到「Linux 与 Windows 全栈等价」，顺带完成了一次十五年历史里最彻底的代码审计。

本文是对 [Fun 源代码深度解读](fun-language-deep-dive.htm)（2026-09-03，以开源快照为基线）的更新版，覆盖开源后半个月的全部演进。散点细节此前已各有专文：[Linux 兼容性全景](fun-linux-coverage.htm)、[越界检查改造](fun-bounds-safety.htm)、[四级逃生舱](fun-escape-hatches.htm)、[平台拆分](fun-platform-split.htm)、[指针宽度](fun-pointer-width.htm)；这里做一次纵向盘点，并补上文章成形后又落地的提交。

## 一份版本次

| 版本 | 日期 | 标志性提交 | 里程碑 |
| --- | --- | --- | --- |
| v9.0 | 08-31 | `46b3c49` | 核心与标准库首次开源（语言版本 9.0） |
| v9.0.1 | 09-05 | `51deea4`（22 提交） | 64 位 Linux 原生构建打通 + Linux FFI（libffi）+ ORM SQL 注入根治 + FPC 兼容批量修复 |
| v9.0.2 | 09-07 | `cb40bcd` | Linux FFI 全功能：补 float/double + libffi 闭包回调 |
| v9.0.3 | 09-08 | `1b5604a` | `host.arg()` 编译期宿主信息 + FFI 边界收尾 |
| v9.0.4 | 09-12 | `9bd45b3` | PCRE 主题字符串内存隔离 |
| v9.0.5 | 09-12 | `bb9aaa0` | zlib 边界收尾 |
| v9.0.6 | 09-12 | `336b7d8` | libffi ABI 运行时探测 + 6 个核心库 Linux 后端 |
| v9.0.7 | 09-13 | `705e5a4` | lib-winsock-lnx UDP server + ajax/xml/ado/ado-schema 的 Linux 后端 |
| v9.0.8 | 09-13 | `d8b2742` | lib-winsock-base 共享 HTTP/WebSocket 协议层 + TCP/DNS + poll 版 async |
| v9.0.9 | 09-13 | `688b12d` | lib-jsonrpc-lnx + lib-orm-rpc-lnx + Scheduler 先 swap 再迭代 |
| v9.1 | 09-14 | `1e910a1` | 越界检查改造：12 处下标/字节路径加边界校验 + SAFETY.md 决策记录 |

## 主线一：64 位 Linux 全栈等价

最大的那条。从「能不能跑」到「全栈等价」只用了半个月：

| 维度 | v9.0 | v9.1 |
| --- | --- | --- |
| 原生构建 | 无 | x86_64-linux，smartlink 后约 525 KB |
| FFI | 无 | libffi 全功能 + ABI 运行时探测 |
| 加密 | 无 | OpenSSL libcrypto（含 RSA PEM/DER） |
| 压缩 | 无 | libz.so.1（LP64 z_stream） |
| 正则 | 无 | PCRE 8 静态链接 |
| XML | 无 | libxml2 pull API |
| HTTP 客户端 | 无 | libcurl easy 接口 |
| HTTP/WebSocket 服务端 | 无 | BSD sockets + poll(2) + 协议层共享 |
| JSON-RPC / ORM-RPC | 无 | 继承 lib-winsock-lnx 的 Server.HTP |
| 数据库 | 无 | SQLite + 完整 ORM 链 |
| 进程/内存扫描 | 无 | /proc 文件系统 |
| Unicode | 无 | 纯 Fun GBK 表 + UTF-8 codec |
| 汇编 | 无 | mmap + SysV AMD64 + 64 位回调地址 |
| 运行时 C 编译 | 无 | libtcc.so |
| 内存安全 | 越界读/写堆内存 | 越界写抛异常、越界读返回默认值 |

模块加载率（`lib-loadcheck`）从 0/59 推到 48/59。剩下 11 个是 Windows 专属：`lib-winole`、`lib-registry`、`lib-trayicon`、`lib-dialog`、`lib-ui`、`lib-ui-base`、`lib-winapi`、`lib-cwinapi`、`lib-message`、`lib-bind`、`lib-jsasync`，都需要 COM 或 GUI 后端，短期内不会移植。

## 主线二：把指针宽度收进一处

64 位移植暴露的第一类系统性问题是「地址被截成 32 位」。修法不是逐个打补丁，而是全局收敛到两个别名：

- `fun.intptr` / `fun.uintptr` —— 64 位目标下是 `Int64` / `QWord`，32 位下是 `Integer` / `Cardinal`，平台判断只留在 `fun.pas` 一处；
- 其余 unit 不再命名编译器私有的 `PtrUInt` / `PtrInt`。

v9.1 又把这套约定延伸到 Unicode 浮点下标的写路径（`fun.int(p) + 1` 改成 `fun.uintptr(p) + 1`）。这类问题点状修是修不完的，只有收敛到单一来源才收得住。

## 主线三：平台拆分胜过平台抽象

Fun 没有建「跨平台 FFI 抽象层」或「跨平台 crypto 抽象层」，而是走文件级拆分：

| 文件 | 角色 |
| --- | --- |
| `lib-X.fun` | Windows 实现，保持原名 |
| `lib-X-lnx.fun` | Linux 实现 |
| `lib-X-base.fun` | 两平台共享逻辑 |

标准库 `fun/lib` 现有 73 个 `.fun` 文件，其中 12 个 `-lnx` 后端、4 个 `-base` 共享层。公共 API 名与签名不变，分支留在内部。

这套架构成熟的标志是 v9.0.8 的 `lib-winsock-base.fun`：把平台中性的 HTTP/WebSocket 协议层抽出来，两个后端各自只实现 6 个 socket 钩子：

```fun
SendOnce(sock, data)    // send(2) / WSASend
Read(sock, size)        // recv(2)
CloseSock(sock)         // close / closesocket
ShutdownSock(sock)      // shutdown(sock, SD_SEND)
Delay(ms)               // sleep / usleep
Fatal(sock)             // 该客户端是否该丢弃
```

抽完之后，Windows 后端 `lib-winsock.fun` 从 659 行降到 319 行。

值得一提的是 Linux 路径在某些维度反而更现代：`RSA_PEM` 用标准 PEM 密钥而非 CryptoAPI blob；libffi 的 ABI 探测让同一份二进制能从 CentOS 7 跑到 Ubuntu 22.04+；libxml2 的 pull API 比 MSXML 的 DOM 绑定更轻。移植不是降级，是把两边的优点对齐。

## 主线四：移植即审计

64 位移植 + v9.1 越界检查，事实上成了这个项目十五年来最彻底的一次代码审计。修掉的一批 bug 潜伏多年、且跨平台存在：

| bug | 潜伏原因 | 修复 |
| --- | --- | --- |
| CX 运算符表未初始化 | `InitCalc()` 没在 unit initialization 里调用；Delphi 路径不知何故能工作 | v9.0.1 |
| `x?.k?` 安全导航 stale | `CId2.find` 在 base 为 nil 时没清 `evar`，返回上一次同 AST 节点的查找结果 | v9.0.6 |
| lib-zlib 空输入 | `avail_in = 0` 时不安装输出缓冲区，`uncompress` 拒绝零容量 dest | v9.0.5 |
| lib-bnf `dup:0` | `nil += 1` 保持 nil，于是每个 `dup:0` 文法都不可用（PCRE 直接拒绝同名命名组） | v9.0.6 |
| lib-orm-pro 行数累加 | `ret.rows += r[0].rows` 静默失败，调用方永远看不到影响行数 | v9.0.6 |
| empty-value 算术 | FPC RTL 传播 Empty/Null（`Empty + 1 = Empty`），与 Delphi 行为分歧 | v9.0.6 |
| lib-ado-schema 外键丢失 | `Format` 的末段把 `PK_TABLE_NAME` 跟按 `Table.Column` 键控的集合比较，所有外键被丢 | v9.0.7 |
| Scheduler re-arm | 回调里新注册的 timer 被 `keep` 丢弃 | v9.0.9 |
| 排序表 `Ord()` Unicode 越界 | Unicode 模式下 `Ord()` 可达 65535，越界 256 项表 | v9.1 |
| `CIdx.done` 空串赋下标 | Pascal 1-based，空字符串的 `asStr[1]` 越界 | v9.1 |
| `CList.GetItem` 无边界检查 | 越界直接读堆内存 | v9.1 |
| `CList.SetCount` 直接写 `FCount` | `.@count(n)` 可把计数设到容量之外 | v9.1 |

`nil += n` 是 Fun 的设计陷阱：从 `new []` 来的计数槽，`count[n] += 1` 永远不离 nil。v9.0.6 没有改语言语义（那会破坏既有测试），而是在标准库层面显式播种 `(count[n] or 0) + 1`。语言语义稳定，坑在库这一层填平。

## 主线五：内存安全加固

v9.1 一次性给 12 处下标/字节路径加了边界校验（见专文[《越界了，会发生什么》](fun-bounds-safety.htm)）。设计取一条非对称线：

- **越界写**：抛异常。写错地址是明确的错误，不该静默；
- **越界读**：返回安全默认值（通常 nil）。读越界在很多热路径上（`s[i]` 探测、`?.` 链）是正常控制流，不该炸栈。

最容易出事的是「加固定本身引入回归」。`637a746` 加 clamp 时手滑，把 `s[i+1] div 256` 写成了 `s[i+2] div 256`，于是 Unicode 浮点下标读到了**下一个字符**的高字节。改完 38 分钟后，`1e910a1` 就把它修了回去。作者自己发现并修复，说明回归测试确实在跑 —— 这比「有 666 个测试」本身更能说明问题。

另有两处预先存在、这次没动的边缘 case 值得记录：`CIdx.done` 用 `Length(PChar)` 处理含 null 字节的二进制串会误判越界（读路径不受影响）；`CHist.SetItem` 对负索引静默 append。都不算回归，留待后续。

设计取舍写进了 `SAFETY.zh.md`：不做 COW（字符串赋值保持引用语义，`lib-cstruct.goBytes` 依赖 `b := a; b[i] = x` 改到 `a`）；`s.move(numDest)` / `toNum(ptr:-1)` 保留为不安全原语，等 `-safe` 开关按类拦截；超大分配不设上限（属于 DoS，不是内存安全）。把「为什么这样做」写下来，和把代码写对同样重要。

## 主线六：体积与工程卫生

- **smartlink + 段回收**（v9.0.1 `cfe8c40`）：FPC `-XX -CX` 加 `--gc-sections`，PCRE 编译加 `-ffunction-sections -fdata-sections`，Linux 可执行体从 1.11 MB 砍到约 525 KB，接近减半。
- **第三方依赖文档化**（v9.0.4 `f87492f`）：README 增补「不带进仓库的第三方依赖」一节，写明 PCRE 8 / TCC 0.9.27 / Windows 运行库的获取方式。
- **SAFETY.md 决策记录**（v9.1 `b925cb6`）：与 `art/notes/` 下的移植、边界决策笔记配套。

## 手册即测试集

Fun 的测试基础设施藏着一个不太寻常的选择：**手册里的例子就是回归测试**。

抓取在线手册 `man.htm`（约 238 KB 单页）实测：10 章、42 个 H3、58 个 `coderet` 代码块（每个对应一个可下载的 `demo/*.fun`），其中 **45 个带配对的期望输出** —— 这些就是黄金测试对。文档与测试同源（SSOT），改文档不可能忘改测试，改测试也不可能忘改文档。

加上作者自述的约 666 个未公开测试文件，合计约 **724+ 个回归用例**。公开提交里能看到的测试文件按 `lib-X-test.fun` / `lib-X-<feature>.fun` 命名，仅 v9.0.1 → v9.1 就新增约 500+ 项：

| 修复提交 | 新增回归测试 |
| --- | --- |
| `ef3bc25` lib-bnf dup:0 | `fun/test/lib-bnf-dedup.fun` |
| `31e4551` lib-orm-pro 累加 | `fun/test/lib-orm-rows.fun` |
| `47b6c07` empty-value 算术 | `fun/test/lang-semantics.fun` |
| `ed65e3c` `x?.k?` stale | `fun/test/fun-optional-member.fun` |
| `acd4c08` Linux 汇编 | `fun/test/lib-asm-lnx.fun` |
| `f34438c` lib-ajax-lnx | `lib-ajax-lnx-test.fun` + fixture server |
| `705e5a4` lib-winsock-lnx | `fun/test/lib-winsock-lnx-test.fun` |

每个 bug 修复都附带一条新回归测试，这是「测试集是日常工作流、不是开源前临时补的」的直接证据。而 38 分钟自愈说明另一半价值：当回归没被覆盖时，作者能在很短时间内发现并补上。

## 生态全景

开源不是一个瞬间，而是一段跨了八年的过程：

| 时间 | 事件 |
| --- | --- |
| 2018-09 | 1999 年写的磁盘编辑程序、安装程序生成器开源 |
| 2021-04-18 | z-data + fun-asm + fun-orm 同日开源 |
| 2021 | z-template、z-tip 相继开源 |
| 2026-08-31 | Fun 核心仓库首次开源 |
| 2026-08-31 | funide IDE 仓库创建 |
| 2026-09-04 → 14 | 十五天十一个版本、八十四次提交 |

Funlang 组织共 25 个公开仓库：自有 10 个加 15 个第三方 fork（Alpine、mui、monaco-languages 等，研究参考用，正好对应 z-data 的设计对标对象）。

值得单说的是 z-data 与 Fun 的**双向依赖**：z-data 的构建工具 `rule-compiler.fun` 是用 Fun 写的，而 z-data 又跑在 Fun 的 UI 宿主里。用自己语言写的工具，构建出承载自己 UI 的框架 —— 元循环跨到了语言边界之外。

开源覆盖度大致是：解释器核心、59 个标准库模块、演示与基准、旧 UI 后端、z-data 全部开源；IDE 仓库已建内容待发；WebView2 后端与 666 测试集未开源；最终二进制编译器可能永不开源（作者明示「看情况」）。语言与前端生态层面约 90%。

## 工程哲学，六条

1. **平台拆分胜过平台抽象** —— 文件级 `<name>-lnx.fun` + `-base` 共享层，胜过发明抽象层。
2. **编译期信息胜过运行时探测** —— `host.arg()` 把 os / cpu / compiler / bits 编译期烘焙，零运行时成本；只有真正动态的（libffi ABI）才运行时探测。
3. **工业标准 + 务实抽象** —— FFI 用 libffi、正则用 PCRE、加密用 OpenSSL、压缩用 zlib、HTTP 客户端用 libcurl、数据库用 SQLite，全不自研；只在指针宽度、平台分支、ABI 兼容这些「没有标准答案」处自建约定。
4. **移植即审计** —— Linux 支持的副产品是一次彻底审计，对长期健康的价值甚至高于 Linux 支持本身。
5. **测试驱动是工作流，不是仪式** —— 每个修复附测试、38 分钟自愈。
6. **决策透明** —— 为什么不做 COW、为什么用 pull API、为什么用 poll(2) 而非线程，都写进文档，而不只是留在代码里。

## 文章成形之后，又落了三笔

就在这篇总览定稿前后，上游又推了三个提交，恰好都在「移植即审计」这条线上继续：

- `ea05a44` **core：堵住每处可选导航 miss 与字符串下标读泄漏的 CExp**。`x?` 与 `a.b?` 在 base 为 nil 时每次都 `CExp.new(nil)`，而 `evar` 只是借用字段、无人释放，于是每次求值漏一个；`CIdx.find` 的字符串下标分支同样每次 `s[i]` 漏一个。作者实测 2 万次循环的 VmRSS 增长：`nilv?.@count?()` +1.8 MB → 0，`nosuchname?.foo?` +2.1 MB → 0，`s[0]` +3.2 MB → 0。修法是给这三处各分配一个单元格（`CId.enil` / `CId2.eopt` / `CIdx.estr`），每次发出前重置为 nil —— 语义上等价于每次新建，少一次分配。暴露路径很具体：zillio 的 rdb 后端每次请求都走 `ps?.@count?()` 与 `v?.@count?()`，RSS 随请求数线性增长且不归还系统，每次 RdbGet 约 +0.7 KB。验证是 87/87 回归加两套临时对照。
- `8a58b77` **lib-json：给 JSON/FD 嵌套深度加顶**。扫描器本身是迭代的，但生成的树在释放、克隆、序列化时是递归的，攻击者提交数千层 `[`/`{` 就能压爆栈。现在超过 512 层直接抛异常，不再构建出无法使用的结构。JSON 扫描与 FD 扫描（`libfd.inc`）共用这个上限。
- `37a7758` **lib：注明 `StrToInt` 的 x 前缀十六进制在 FPC 与 Delphi 上均已验证** —— 一行注释，把一处跨编译器行为的假设钉死。

三条都很小，但方向一致：边界、内存、跨编译器一致性。开源十五天的主线到 v9.1 收尾，但这条线没有终点。

## 一句话总结

十五天十一个版本，把 Fun 从「能在 Linux 跑」推到「Linux 与 Windows 全栈等价」，顺带修掉一批潜伏多年的跨平台 bug；连同此后的泄漏修复与嵌套上限，落点始终是同一个：**先让它在两个平台上都跑得对，再让它跑得久**。