动态卸载 SO 前，怎样回收 Native 线程、回调和函数指针

先判断业务是否真的需要动态卸载

很多移动应用只需要在进程生命周期内加载一次 Native 库，退出进程时由系统统一回收。若产品没有插件切换、可选算法模块、内存峰值控制或独立故障域等明确需求，主动卸载往往增加的不是收益，而是线程、回调、对象和依赖的组合风险。设计评审应先写出卸载触发条件、可接受停顿、失败策略和重新加载语义；仅以“暂时不用”作为理由，无法支撑复杂生命周期。

动态库句柄只是可见的一部分。库内可能启动工作线程、注册 JNI 方法、缓存 JavaVM 或全局引用、向宿主返回函数指针、创建 C++ 对象、持有文件描述符、安装定时器，或把回调交给其他模块。释放句柄并不能证明这些外部引用已经消失。工程上应把所有能在库代码外继续存活的对象列成租约清单，并明确谁创建、谁停止、谁等待、谁确认归零。

如果无法建立完整租约清单，更稳妥的策略是保持库加载到进程结束，或把需要频繁替换的工作放进独立进程。本文只讨论已确认需要动态卸载时的生命周期门禁，不声称某种架构对所有 App 都更快或更省内存。是否能够真正卸载、映射何时释放以及依赖如何处理，要由目标平台、具体加载方式和设备回执确认。

用状态机把停止接收放在 dlclose 之前

卸载入口首先把模块从 loaded 原子切换到 draining。这个状态变化需要早于任务取消，因为新的 Java 调用、Native API 调用、定时器和队列消费者必须立即被拒绝。调用方收到 module_draining 这类可区分错误后，选择等待、切换实现或结束业务，而不是继续取得函数指针。若关闭入口与任务扫描之间没有原子边界，扫描刚结束就可能进入一个新任务。

draining 阶段只允许收尾动作：发出停止请求、撤销队列、等待线程、注销回调、释放对象和归还指针租约。每个动作必须产生结构化回执，不能只写一条“开始卸载”日志。所有活动计数归零且依赖关系满足后，状态机进入 quiesced；只有 quiesced 可以调用句柄释放操作。若任何一项在限定的业务时间内不能归零，正确结果是保持 draining 或恢复为 loaded，而不是越过门禁。

unloaded 是不可逆的当前代次终态。重新加载必须生成新的 generation，创建新的入口表、回调注册和任务上下文。旧 generation 的异步结果即使在新库加载后到达，也只能被丢弃和记录，不能根据“模块又可用了”写入新实例。这个代次规则与线程停止规则相互补充：前者阻断迟到数据，后者避免处理器仍执行已经失效的代码路径。

Native 线程必须有停止协议和 join 责任

线程回收的关键不是发出 stop，而是知道线程何时不再执行库内代码。每个由模块创建或长期借用的线程应登记 generation、用途、停止通道、阻塞点、退出回执和 joinOwner。停止协议先拒绝新工作，再唤醒可能阻塞在条件变量、队列或文件读取上的线程，让其完成有限清理并返回。只更新一个原子布尔值，如果线程没有机会观察它，不能构成回收证据。

join 由明确的宿主线程负责，不能让待卸载线程等待自己，也不能在持有该线程退出所需的锁时阻塞等待。工程评审应画出锁与 join 顺序，尤其关注回调线程、线程池 worker 和析构路径之间的循环依赖。固定 sleep 只是在时间上碰运气：设备负载、调度、I/O 和取消语义都会改变退出时间。可靠门禁读取实际退出回执和线程注册表，而不是把等待时长当成成功。

线程可能通过 JNI 附着到运行时，这属于相邻但独立的资源边界。Android JNI tips 对线程、引用、异常和类加载给出平台建议；卸载流程需要确认模块创建的附着关系、线程本地资源和 Java 回调都已结束。本文不复制 JNI attach/detach 的完整专题，也不把通用文档写成目标 App 已通过。最终结论仍要来自具体线程路径和设备端运行记录。

JNI 回调与 Java 引用要在代码失效前注销

Java 层可能保存 Native 方法入口、listener、Runnable、对象句柄或由 Native 创建的代理。卸载前，宿主先把公开入口切换为 draining，再取消 Java 侧调度，注销 listener 和 observer，等待正在执行的回调返回。Native 层随后清理其持有的全局引用和回调上下文。顺序不能倒置：如果先删除上下文，已经排队的 Java 回调可能拿到悬空状态；如果先释放代码，已注册入口可能仍指向失效区域。

动态注册的 JNI 方法需要纳入注册表，记录 Java 所有者、Native 模块 generation、活动调用数和注销状态。静态命名入口也要在业务层关闭可达性，不能因为没有显式注册表就忽略。注销动作只说明不再接受新调用，已经进入 Native 的调用仍要通过活动计数或作用域租约等待退出。异常路径同样必须归还计数，否则一次未清理的异常就会让状态机永远无法 quiesced。

JavaVM 指针、class 引用和 method ID 的使用边界容易被混在一起。公开内容只给出生命周期方法，不提供私有类名、真实方法名、原始地址或项目内部注册表。对于目标 App，需要分别核对全局引用、弱全局引用、线程局部引用、回调队列和类加载上下文。某个入口在静态扫描中存在或注销函数返回成功，都不能替代迟到回调与异常路径测试。

函数指针和跨库对象需要显式租约

通过 dlsym 或模块工厂返回的函数指针，离开加载器后常被缓存到全局表、虚表、lambda、回调或另一个 SO 中。卸载方看不到这些裸指针是否仍在使用，因此不能靠扫描内存决定安全。工程上应由宿主发放带 generation 的调用句柄，调用前增加活动租约，返回后归还；draining 后不再发放新租约，已有租约归零才允许进入 quiesced。

C++ 对象比函数指针更隐蔽。对象的成员函数、虚表、析构函数、类型信息和异常路径都可能依赖被卸载模块；即使对象数据位于宿主堆上，调用其行为仍可能进入库代码。跨边界对象应使用由宿主控制的 opaque handle 和显式 destroy，记录创建模块与 generation。对象必须在代码仍有效时销毁，不能把最后析构推迟到 dlclose 之后，也不能让共享指针循环掩盖存活数量。

函数指针比较、空指针赋值或删除单个工厂对象都不足以证明租约清空。验收需要枚举 API 表、回调表、插件注册、任务捕获、对象池和错误恢复缓存，确认每一类都能拒绝新借用并报告活动数量。若第三方库只暴露裸指针且没有撤销协议，宿主应保持依赖常驻，或把它放进可整体终止的进程，而不是强行制造不可证明的卸载。

依赖、namespace 与 API level 要独立验证

Android 动态链接器会在调用者所在的 namespace 约束下解析依赖、搜索路径和允许库。AOSP linker namespace 文档用于理解隔离与可达性，但 VNDK 场景不能直接替代普通 App 进程的设备运行验证。一个模块能 dlopen 成功，不代表其依赖都能按预期卸载或重新加载；另一个模块、运行库或全局句柄仍可能持有引用。卸载清单要记录直接依赖、共享运行库和加载所有者，而不是只记录顶层文件名。

Android NDK stable APIs 说明高于 minSdk 的 Native API 不能被无条件静态调用，必要时可通过 dlopen 和 dlsym 做版本化访问。这解决的是 API 可用性，不解决业务模块的完整卸载生命周期。装载器应把符号查找失败、API 不可用和模块 draining 区分为不同错误；回退实现也要有独立 generation，不能继续使用部分初始化的句柄或旧函数表。

Android NDK common problems 汇总 API level、缺失符号、STL、异常类型和依赖装载等常见兼容故障。卸载与重载测试要在最终 ABI、minSdk、目标 API 和打包依赖上执行，尤其检查共享 C++ 运行库、异常跨边界和初始化顺序。本文没有目标包或设备回执，因此不宣称任何候选 SO 已兼容，也不把一个模拟器或一台设备的结果推广到完整厂商矩阵。

诊断要证明最后一次访问发生在卸载之前

卸载问题常以低概率崩溃、非法跳转、析构异常或长时间卡住出现。诊断记录应围绕生命周期因果：何时关闭入口、活动任务多少、哪些线程收到停止、join 何时完成、回调与函数指针租约何时归零、何时进入 quiesced、句柄释放后是否还有旧 generation 事件。不要记录真实库路径、符号、地址、原始线程标识或用户数据；公开报告只保留脱敏阶段和错误类别。

Debug Android native code 文档说明 Native 调试和 tombstone 还原依赖正确符号、架构与构建产物。项目应把未剥离符号、发布候选身份、ABI 和崩溃回执绑定起来，避免用其他构建的符号解释当前故障。符号化可以帮助定位最后访问，但不能单独证明线程、回调和对象均已回收；还需与状态机事件、租约计数和同一版本的运行路径对齐。

Android instrumented tests 适合覆盖依赖真实运行时、组件和系统 API 的语义。卸载回归可用受控测试模块反复执行加载、工作、draining、取消、join、注销、quiesced、卸载与新代次重载，并故意安排迟到回调验证拒绝路径。具体次数、设备范围和通过标准由项目风险决定；单一设备通过不能代表完整 API、ABI 和厂商覆盖，静态审计或进程未崩溃也不等于门禁闭合。

• 每个阶段记录 generation、状态和活动计数，不记录真实符号或地址
• 符号文件与同一发布候选、ABI 和构建身份绑定
• 线程退出、回调注销和指针租约分别产生可复核回执
• 卸载后主动制造迟到事件并确认旧 generation 被拒绝
• 进程死亡、异常路径与重新加载进入独立设备回归
• 无目标设备证据时保持兼容性、性能和稳定性结论未证实

用事件清单门禁拒绝带活动租约的 unloaded

下面的 Python 示例读取脱敏 JSON 事件序列，验证 loaded、draining、quiesced、unloaded 的顺序。每个事件包含 generation、activeTasks、nativeThreads、javaCallbacks、pointerLeases、liveObjects 和 jniRegistrations；数值不得为负，代次不得变化。进入 quiesced 和 unloaded 时所有活动计数必须为零，unloaded 之后不允许再出现当前代次事件。

示例只检查事件声明的一致性，不能证明真实线程已经离开指令区、函数指针没有藏在第三方模块、链接器已经解除映射，也不能替代 tombstone、符号和设备测试。生产门禁还应把事件源绑定发布候选和运行实例，检查丢失事件、进程死亡和日志缓冲；测试使用公开安全夹具，不包含客户数据、真实库名、地址、凭据、内网信息或攻击链。

可同时参阅本站关于 linker namespace 与 Native worker 停止 join 契约的技术说明，分别处理依赖可达性和进程退出时的通用线程回收；当前页面只回答动态卸载前的跨资源顺序。准备具体 SO 的卸载评估时，可整理脱敏依赖图、线程表、JNI 注册表、指针租约、对象所有权和设备矩阵，再从御盾中央平台提交申请；页面框架会统一呈现本站内链和中央行动按钮。

• loaded 到 unloaded 只能按定义顺序前进，禁止状态倒退
• generation 在同一卸载序列中保持不变
• draining 必须明确拒绝新工作和新租约
• quiesced 与 unloaded 要求所有活动计数归零
• unloaded 后任何当前代次事件均视为迟到访问
• 结构通过后仍执行真实线程、JNI、指针、对象与设备回归

from pathlib import Path
import json
import sys

if len(sys.argv) != 2:
    raise SystemExit("usage: unload_gate.py events.json")
path = Path(sys.argv[1])
if not path.is_file():
    raise SystemExit("event file is missing")
try:
    events = json.loads(path.read_text(encoding="utf-8"))
except (OSError, json.JSONDecodeError) as exc:
    raise SystemExit("event file is not valid JSON") from exc
if not isinstance(events, list) or not events:
    raise SystemExit("events must be a nonempty list")

order = {"loaded": 0, "draining": 1, "quiesced": 2, "unloaded": 3}
counters = (
    "activeTasks",
    "nativeThreads",
    "javaCallbacks",
    "pointerLeases",
    "liveObjects",
    "jniRegistrations",
)
generation = events[0].get("generation")
if not isinstance(generation, int) or generation < 1:
    raise SystemExit("generation must be a positive integer")
previous = -1
seen_unloaded = False
for number, event in enumerate(events, 1):
    if not isinstance(event, dict):
        raise SystemExit(f"event {number} must be an object")
    if event.get("generation") != generation:
        raise SystemExit(f"event {number} changes generation")
    state = event.get("state")
    if state not in order or order[state] < previous:
        raise SystemExit(f"event {number} has an invalid state transition")
    if seen_unloaded:
        raise SystemExit(f"event {number} occurs after unloaded")
    values = []
    for field in counters:
        value = event.get(field)
        if not isinstance(value, int) or value < 0:
            raise SystemExit(f"event {number} has invalid {field}")
        values.append(value)
    if state in {"quiesced", "unloaded"} and any(values):
        raise SystemExit(f"event {number} enters {state} with active leases")
    if state == "draining" and event.get("acceptsNewWork") is not False:
        raise SystemExit("draining must reject new work")
    if state == "unloaded":
        seen_unloaded = True
    previous = order[state]
if not seen_unloaded:
    raise SystemExit("the trace never reaches unloaded")
print(f"validated_events={len(events)} generation={generation}")