代码仓库：https://github.com/bminor/glibc/blob/glibc-2.27/，只分析 64 位模式下。文中很多位置没有直接贴源码，如有需要可以通过文字超链接跳转到大概位置。

malloc 申请的内存块被称为 chunk，用 malloc_chunk 结构体表示：

其中 prev_size 只有在前一个 chunk 是 free 状态的时候被使用，否则给物理相邻的前一个 chunk 当用户数据块。

至于 chunk 是什么状态，使用 chunk→size 的某些位做标记，标志位相关的宏：

size 大小必须是 MALLOC_ALIGNMENT 的整数倍，空闲的位用作标志位：

PREV_INUSE 标志位用于记录前一个 chunk 是否被分配，堆中第一个被分配的 chunk 的 PREV_INUSE 位都会被设置为 1，防止向前访问非法内存。

进程的每个线程都会有个对应的存储堆信息的链表结构 heap_info：

每个线程的堆内存是逻辑上互相独立的，每个堆都关联一个 arena，主线程的 arena 称为 main_arena，子线程的 arena 称为 thread_arena。

arena 是一个指向 malloc_state 结构的指针：

arena 中维护了一些关键的状态信息和链表，相关字段在用到的时候再解释。

如果启用 tcache（在 2.26 引入，默认启用），在内存分配时首先在 tcachebins 里找有没有合适的 chunk。

先对申请的内存大小按 MALLOC_ALIGNMENT **对齐，也就是 16 字节对齐，对齐方式如下：

使用 request2size 将 bytes 参数转换为所需 chunk 的大小，chunk 头占用 0x10 的空间，剩下的用来存储用户数据。

tcache 是一种链表结构，相关的结构体 tcache_entry 和 tcache_perthread_struct：

每个线程一个 tcache，每个 tcache 有 64 个 tcache_entry，每个 tcache_entry 是个单向链表结构，tcache 的每个索引存储相似大小的 chunk 链表，和其他 bin 不一样 tcache_entry 直接指向用户数据而不是 chunk 头。

不同的大小的 chunk 被划分到对应的索引里，大小和索引互相转换通过 tidx2usize 和 csize2tidx 完成：

也就是这个关系：

每个索引下的单向链表最多有 7 个相同大小的 chunk：

从 tcache bin 中存取 chunk 被包装成两个函数 tcache_put 和 tcache_get：

从这两个函数可以知道 tcachebin 中的 chunk 采用后进先出的原则进行分配。

chunk 进入 tcache 的时机：

如果 tcache 里没有合适的 chunk，会从 fastbins 里寻找。

fastbins 存储在 arena 的 fastbinsY 字段，是一个 malloc_chunk 链表，链表长度为 NFASTBINS：

即 fastbins 长度为 10，使用 fastbin_index 和 csize2tidx 完成索引和 chunk 大小的相互转换，对应关系参考 tcache 的 0 - 9。

看源码好像默认只有主线程开启了 fastbins：

DEFAULT_MXFAST 只有 128 字节：

_int_malloc 中对于是否在 fastbins 中寻找 chunk 的判断条件是：

也就是只在 fastbins 中寻找 chunk 大小 ≤ 128 的，导致 fastbins 后面几个索引是没有用的。

另外需要注意 fastbin 只使用了 malloc_chunk 的 fd 字段组成链表，即 fastbin 链表是单向的。

除了 tcache 和 fastbins 是单独存储的之外，还有 smallbins、largebins、unsortedbin，它们都在 arena 的 bins 字段存储着：

根据 glibc 中的描述，bin0 未使用，bin1 用于 unsortedbin：

然后紧接着是 smallbins。

glibc 源码中还有一段对 bins 比较长的一段描述：

大致意思是 bins 是所有释放的 chunk 的 bin 头数组，每个 bin 是双向链接的。共有 128 个 bin，有一些不是 malloc 常见的分配大小，主要是为了方便存储和寻找拆分或合并后的 chunk，并且每个 bin 链表中前后两个 chunk 不能是物理相连的内存块。

bin 中的 chunk 按大小排序，相同大小的 chunk 按 FIFO t先进先出原则存储和使用，即最近释放的 chunk 放在链表前面，分配时优先使用后面的 chunk。smallbin 中的 chunk 大小都是相同的所以不需要排序，但排序对 largebin 的分配很有用，不需要很多次遍历就能很快找到合适大小的 chunk。

为了简化这个双向链表结构，使用 repositioning tricks 技术将 malloc_chunk 重叠平铺在 bins 上作为 bin 头，实际只用到了 malloc_chunk 中的 fd 和 bk 字段：

一共 128 个 bin，没有 bin0，bin1 是 unsorted bin，bin2~63 是 smallbins，bin64 开始是 largebins 范围。

glibc 使用 in_smallbin_range 判断 chunk 大小是否在 smallbins 范围：

从这些宏定义可知，smallbins 在 bins 上索引范围在 2~63，chunk 大小范围在 0x20 ~ 0x3f0 之间。

使用 smallbin_index 将 chunk 大小转换为对应的 bins 索引：

得到 bins 索引和 smallbin chunk 大小对应关系如下：

从 bin64 开始都属于 largebin，每个 largebin 上的 chunk 大小不是相同的，而是一个范围。

可以先看一下 chunk 大小和 bin 索引的转换关系：

64 位模式下只需要关注 largebin_index_64。smallbins 之间的大小间隔是固定的 0x10，最大的 chunk 大小是 0xf0，所以 largebin 最小 chunk 大小就是 0x400，根据 largebin_index_64 可知，largebins 按 chunk 大小不同的间隔被分成了 6 组：

实际索引和 chunk 大小范围的对应关系：

对于暂时未归类到 smallbins 或 largebins 的 chunk，暂时放到 unsortedbin 里，位于 bin1 位置，不需要按大小排序。

程序调用 glibc 分配内存的入口为 __libc_malloc。

函数原型：

bytes 是程序实际申请的内存大小。

如果 __malloc_hook 位置不是 null，则调用 __malloc_hook 返回。

根据所需 chunk 大小，在 tcachebins 中如果已有相同大小的 chunk，则将该 chunk 从 tcache 链表中取出后返回。

如果 tcache 中没有，则找到线程对应的 arena，调用 _int_malloc 申请内存后返回。

函数原型：

av 为线程对应的 arena，bytes 为程序实际申请的内存大小。

使用 request2size 将 bytes 参数转换为所需 chunk 的大小 nb，chunk 头占用 0x10 的空间，剩下的用来存储用户数据。

如果 av 是空的，表示还没有可用的 arena，直接调用 sysmalloc 申请 mmap 映射内存并生成 chunk，此 chunk 会被标记为 IS_MMAPPED。

如果 arena 可用且 nb 大小在 fastbins 范围内，则找到合适大小的 fastbin，取出一个 chunk 后将其他相同大小的 chunk 转移到 tcache 中，达到 tcachebin 上限（7个 chunk）后停止转移。

在 fastbins 中没找到合适的，再判断 nb 是 smallbin 范围还是 largebin 范围。

如果在 smallbins 范围，找到合适大小的 smallbin ，取出一个 chunk 后将其他相同大小的 chunk 转移到 tcache 中，达到 tcachebin 上限（7个 chunk）后停止转移。

如果在 largebins 范围则调用 malloc_consolidate 合并 fastbins 中的 chunk 避免免空间碎片化。

遍历 unsorted chunk，如果 nb 在 smallbins 范围且 unsortedbin 只有一个 chunk，chunk 大小比 nb 大，并且这个 chunk 是最后一次拆分 small chunk 剩余的 chunk（由 arena 的 last_remainder 字段记录），则从这个剩余 chunk 中继续划分出一块：

否则继续遍历 unsorted chunk，对所有 unsorted chunk 进行整理，即将 unsorted chunk 转移到 smallbin、largebin 中，转移到 largebin 时需要按大小顺序排列将 chunk 插入到对应位置。

遍历过程中如果遇到 chunk 大小正好是 nb ，且符合 tcache 要求 tcache chunk 且没达上限就先存入 tcahce 并标记然后继续遍历下一个 unsorted chunk，如果无法存入 tcache 则将 chunk 直接返回给程序，结束 unsorted chunk 遍历。

在 unsorted chunk 完成转移之后，如果到达了 tcache 处理上限且之前已经有合适的 chunk 被放入 tcache，则从 tcache 获取 chunk 返回给程序。默认无上限，即不会走这一步。

如果遍历次数到达 10000 次终止遍历。

如果之前找到了 chunk 并存入了 tcache，则从 tcache 获取 chunk 返回给程序。

如果nb 在 largebins 范围，则找到满足 nb 的最小的 large chunk 进行拆分操作，并将拆分后剩余的 chunk 放入 unsortedbin 并记录到 arena 的 last_remainder 字段，将 chunk 返回给程序。

如果还是没有合适的，则从所有 bins 中找到满足 nb 的最小 chunk，如果有多个相同大小的 chunk，则按最近最少使用的原则选取 chunk 进行拆分操作，并将拆分后剩余的 chunk 放入 unsortedbin 并记录到 arena 的 last_remainder 字段，将 chunk 返回给程序。

如果在 bins 中都没有满足需求的 chunk，就从 top chunk 中划分出一块，top chunk 不够的话调用 sysmalloc 对 top 扩容并分配 chunk 返回给程序。

函数原型：

该函数遍历所有 fastbin 中的 chunk。

如果 chunk 的 PREV_INUSE 标记位不是 1，说明物理相连的前一个 chunk 是空闲状态，就将当前 chunk 向前合并，再判断物理相连的后一个 chunk 是否是空闲，如果也是空闲就再合并，最后得到一个新的 chunk，新 chunk 的 PREV_INSUE 标志位置为 1。

如果合并后的新 chunk 和 top chunk 物理相连了，则直接设置为 top chunk。否则链到 unsortedbin 上。

在合并过程上涉及将 chunk 从 bin 链表上移除，这个操作通过 unlink 函数完成，因为是一个常用操作，所以被定义为一个宏：

函数原型：

nb 参数表示所需 chunk 的大小，av 是线程对应的 arena。

当满足以下三个任一条件时，直接调用 mmap 申请映射内存 chunk 并被标记为 IS_MMAPPED，而不是扩展已有堆内存：

mmap 内存申请暂不做具体分析，先跳过。

如果即没有可用的 arena 也没有申请到 mmap 内存，则直接返回空。

如果 av 不为空，则表示有可用的 arena，通过扩展 av->top 后从 av->top 中划分出所需 chunk 块。

线程申请的内存 chunk 时实际是从 arena 中的 top chunk 中划分出来的，sysmalloc 函数用于扩展 topchunk 后分配 chunk。

如果topchunk对于申请的大小还有足够的空间，则直接触发异常：

如果 av 是 thread_arena，首先尝试调用 grow_heap 扩展 top 堆，如果失败就调用 new_heap 创建新堆。

new_heap 中实际是利用 mmap 方式分配内存。new_heap 中限制一个 mmap 堆的最大空间默认是 HEAP_MAX_SIZE，分配的最小堆大小为 HEAP_MIN_SIZE：

如果超过这个限制就会分配失败，sysmalloc 再尝试直接调用 mmap 创建所需大小的映射内存块。

如果 av 是 main_arena，则利用 brk 方式分配内存，如果 brk 失败则调用 mmap 分配内存。因为这种 brk 和 mmap 混合使用的情况所以可能会造成内存无法连续，具体 brk 分配过程不再细做分析，先跳过。

不管是 main_arena 还是 thread_arena，因为 top_pad 的存在：

nb 是请求 chunk 块的大小，最小 0x20，mp_.top_pad 默认是 DEFAULT_TOP_PAD，即 0x20000：

所以 top 堆的最小长度为 0x20040，没有最大限制。另外 top 堆长度还要与系统 page_size 对齐。

最终 top 堆完成扩容操作。然后从 top 堆顶划分出 nb 长度的 chunk 块返回。

程序调用 glibc 释放内存的入口为 __libc_free。

函数原型：

mem 是要释放的内存位置。

如果 __free_hook 位置不是 null，则调用 __free_hook 返回。

调用 mem2chunk 将 mem 转为 chunk。

如果 chunk 的 IS_MMAPPED 标记位为 1，表示为 map 申请的大内存或临时内存，需要立即释放。

否则调用 _int_free 释放内存。

函数原型：

如果 chunk 满足存入 tcache 的条件，则将 chunk 存入 tcache 中，完成释放。

如果chunk 满足存入 fastbins 的条件，则将 chunk 存入 fastbins 中。

如果不能存入 fastbins，将 IS_MMAPPED 标记位为 1 的 chunk 释放归还给系统，否则对 chunk 物理连续的前后空闲 chunk 进行合并。

如果合并后的 chunk 没有到 top chunk 边界，就将 chunk 放入 unsorted bin 中，否则说明 top chunk 耗尽了直接该释放的 chunk 作为 top chunk。

最后对于经过合并操作后的 chunk 大小如果超过了 FASTBIN_CONSOLIDATION_THRESHOLD 阈值，则调用 malloc_consolidate 合并 fastbin chunk：

释放：将 mmap 临时内存 chunk 直接释放，其他 chunk 不会被立即释放，按 tcache(64) > fastbins(10) > unsortedbin(1) 的优先级存入作为空闲 chunk，进入到 unsortedbin 之前要先进行合并操作。

分配：如果没有 arena 直接分配 mmap 临时内存 chunk，否则按 tcache(64) > fastbins(10) > smallbins(62) > unsortedbin(1) > largebins > topchunk 的优先级寻找合适大小的空闲 chunk，优先寻找相同大小的 chunk，如果没有大小正合适的 chunk 就从大小最接近的 chunk 上分隔出一块，topchunk 负责兜底，topchunk 也没办法就做系统调用扩展 topchunk 后再划分一块给程序。

几个重要点：

[注意]APP应用上架合规检测服务，协助应用顺利上架！