Java 保存 Native handle 时怎样拒绝释放后的旧句柄

把问题定义为身份复用，而不是空指针判断

最危险的旧句柄并不一定是零，也不一定指向已经取消映射的内存。常见失败过程是 Native 对象关闭后，分配器或自建对象池把同一地址交给另一个对象；Java 仍持有旧 long，再次调用时地址看起来有效，却访问了身份完全不同的新对象。单纯判断 handle != 0 只能排除未初始化，无法排除释放后复用。

裸指针方案还把内存布局暴露给跨层协议。Java 字段、Bundle、异步任务或日志一旦把地址当稳定 ID 使用，Native 侧就很难区分本次进程中的对象、上一次页面实例以及关闭后重新分配的对象。地址宽度、对齐和转换细节也不应该成为业务协议；跨 JNI 的值应表达身份，而不是表达存储位置。

工程上应把 stale handle 设计成一等终态。调用方得到的不是随机崩溃、错误对象结果或模糊的 IllegalState，而是可分类的 invalid_slot、generation_mismatch、closing、closed 等结果。只有当槽位存在、generation 相等且状态允许时，访问才进入对象逻辑；这条判断必须发生在任何解引用之前。

句柄编码只表达槽位与代际，不泄露对象地址

一个实用结构是把固定宽度的 slot 和 generation 编入无符号语义的长整数。slot 选择句柄表中的条目，generation 表示该槽位第几次分配。编码和解码只处理整数位段，绝不从 long 转回对象地址。Java 可以传递这个值，但真正的对象引用只存在于 Native 或受控桥接层的表项中。

generation 要在槽位重新开放前递增，并避开保留的无效值。发生回绕时不能悄悄恢复旧代际，可以退休该槽位、扩大代际位数，或者让进程级 epoch 参与验证。选择取决于预期创建次数和进程寿命，但原则一致：系统必须能够证明一个被接受的 handle 对应当前分配，而不是仅凭概率认为旧值不会回来。

编码不是安全令牌，也不能充当调用授权。攻击者猜不到数值并非设计目标，Java 层拿到合法 handle 也不代表它有权执行任意操作。业务权限、对象能力和线程限制仍需单独检查。句柄表解决的是生命周期身份，不能把它宣传为防篡改、访问控制或加密边界。

create、borrow 与 close 必须共享一套状态机

create 的提交点不是内存分配完成，而是对象已经满足可见不变量并被原子安装到句柄表。若构造、依赖加载或 JNI 返回前发生异常，表项不能处于半初始化状态。常见做法是在表外完成可能失败的准备，锁内分配 slot、确认 generation、安装对象并切换到 active，然后才把编码后的 handle 返回 Java。

borrow 不能只在锁内查到指针，再解锁后无保护地使用。close 可能在这两步之间销毁对象。表项需要引用计数、读写租约或共享所有权来覆盖实际操作区间：借用成功时增加活动借用，操作结束时释放；close 先切到 closing 阻止新借用，再等待或协调既有借用，最后销毁并递增 generation。

close 应定义幂等性，但幂等不等于吞掉所有错误。相同 Java 对象的重复 close 可以返回 already_closed，旧 generation 的 close 必须返回 stale_handle，类型不符则返回 type_mismatch。不同结果帮助定位页面重复释放、迟到回调和跨对象串线；如果统一当成功，资源计数看似平稳，生命周期错误却会继续污染后续请求。

异步回调要携带 generation 和任务代次

JNI 调用返回后，Native 工作线程可能继续计算，再通过 listener、Future 或事件队列回到 Java。只在任务启动时校验 handle 不够，因为页面可能已关闭对象并创建新对象。每个异步任务应捕获 handle、对象内部 taskGeneration 和取消状态；回调投递前重新确认任务仍属于当前对象，Java 接收端再核对页面或请求 generation。

回调不能通过缓存的 JNIEnv 跨线程使用，也不能假定 Java 引用永久有效。Android JNI 指南对线程附着与引用生命周期给出边界，工程实现应由受控桥接层在线程进入时获取环境，并把弱引用消失、异常待处理和回调目标关闭映射为明确终态。这里的规则并不证明某个变换后的 SO 已保持线程语义，候选仍需设备验证。

close 与回调的顺序要预先选择。可以规定 close 等待所有任务退出，也可以允许任务完成但丢弃迟到结果；两种方案都要让状态机可观察。最差的做法是 Java 字段先清零，Native 任务仍拿裸指针回调，因为日志只看到 handle 为零，却无法证明旧任务是否写入了新页面或调用了已释放 listener。

进程重建和持久化边界要明确拒绝旧数值

Native handle 只在创建它的进程实例内有效。Activity 重建不一定意味着进程重建，但 savedInstanceState、数据库、磁盘缓存和跨进程消息都不应保存并恢复 handle。恢复时应持久化可重建的业务参数，例如资源逻辑 ID、配置摘要和用户选择，再通过新的 create 流程生成新句柄。旧 long 即使非零也必须视为无效。

如果应用确实有多个进程，句柄表不能天然跨进程共享。Binder 请求应传递稳定业务标识或受系统管理的资源描述，并由拥有对象的进程解析；直接传 long 只会把另一个地址空间的槽位号带过去。进程名称、PID 或 epoch 可用于诊断和拒绝，但 PID 也会复用，不能单独承担永久身份。

库重新加载、热更新候选切换或测试环境重置同样会清空表。Java 包装对象可以记录创建它的 bridgeEpoch，并在每次 nativeCall 前与当前桥接实例比较；不匹配时要求重新创建。这个检查是工程防线，不代表可以跳过 Native 表内 generation 校验，因为并发 close 与槽位复用仍会发生在同一个 epoch 中。

用安全句柄表把陈旧引用变成确定性失败

下面的 Kotlin 示例只演示句柄分配、借用和关闭，不保存地址，也不包含真实业务对象。handle 的高位保存 generation，低位保存 slot；每个外部输入先解码并检查范围，再在同一把锁内核对表项。borrow 在锁内执行传入操作，示例因此牺牲并发度来突出生命周期正确性，生产实现可以替换为受验证的租约或共享所有权。

代码把 generation 不匹配视为输入派生的异常路径。close 先验证当前代际，再清除 value、递增 generation 并把槽位放回空闲状态。代际到达保留边界时退休槽位，避免回绕后重新接受非常久以前的值。具体位宽和容量必须依据应用生命周期评估，不能照抄示例数字后宣称风险已经消除。

这段校验器适合放进单元测试和设备测试的夹具，用固定序列证明旧句柄被拒绝：创建 A、关闭 A、创建 B 复用槽位，再用 A 的 handle 借用或关闭。测试还应覆盖并发 close、异步取消、JNI 异常和进程重建。示例不含 JNI 指针转换，因此也不会成为地址操作或绕过脚本。

import java.util.concurrent.locks.ReentrantLock
import kotlin.concurrent.withLock

class GenerationHandleTable<T>(private val capacity: Int) {
    private data class Entry<T>(
        var generation: Int = 1,
        var value: T? = null,
        var retired: Boolean = false
    )

    private val lock = ReentrantLock()
    private val entries = List(capacity) { Entry<T>() }

    fun create(value: T): Long = lock.withLock {
        val slot = entries.indexOfFirst { it.value == null && !it.retired }
        require(slot >= 0) { "handle table is full" }
        val entry = entries[slot]
        entry.value = value
        encode(slot, entry.generation)
    }

    fun <R> borrow(handle: Long, operation: (T) -> R): R = lock.withLock {
        val slot = decodeSlot(handle)
        val generation = decodeGeneration(handle)
        require(slot in entries.indices) { "invalid handle slot" }
        val entry = entries[slot]
        check(!entry.retired) { "handle slot is retired" }
        check(entry.generation == generation) { "stale handle generation" }
        val value = checkNotNull(entry.value) { "handle is closed" }
        operation(value)
    }

    fun close(handle: Long) = lock.withLock {
        val slot = decodeSlot(handle)
        val generation = decodeGeneration(handle)
        require(slot in entries.indices) { "invalid handle slot" }
        val entry = entries[slot]
        check(entry.generation == generation) { "stale handle generation" }
        checkNotNull(entry.value) { "handle is already closed" }
        entry.value = null
        if (entry.generation == Int.MAX_VALUE) {
            entry.retired = true
        } else {
            entry.generation += 1
        }
    }

    private fun encode(slot: Int, generation: Int): Long =
        (generation.toLong() shl 32) or (slot.toLong() and 0xffffffffL)

    private fun decodeSlot(handle: Long): Int = (handle and 0xffffffffL).toInt()

    private fun decodeGeneration(handle: Long): Int = (handle ushr 32).toInt()
}

回归矩阵要覆盖复用、竞态、异常和诊断链

最小测试不是 create 后调用一次，而是强制发生槽位复用。测试记录 handleA 的 slot 与 generation，关闭后创建 B，确认可能复用相同 slot 但 generation 已变化；随后用 handleA 执行 borrow、close 和异步完成事件，全部必须在解引用前失败，同时 handleB 的对象状态保持不变。若只观察没有崩溃，无法排除旧操作误写新对象。

设备端 instrumented test 用于覆盖真实 Android 运行时、页面生命周期、线程附着和 JNI 异常传播。矩阵至少包括旋转重建、后台恢复、用户快速返回、工作线程与 close 竞争、弱引用消失、Native 异常映射以及进程被系统终止后的恢复。单台设备的结果只证明该候选在该环境和路径中的表现，不能外推完整 API、ABI 与厂商组合。

若出现 Native 崩溃或异常退出，ApplicationExitInfo、tombstone 和符号化产物可以帮助把退出记录关联到候选哈希、架构、时间窗和操作序列。调试符号必须与构建产物对应，公共文章不展示可运行攻击链。诊断证据说明发生了什么，不自动证明修复完成；修复后的新候选要重跑同一复用序列。

发布门禁绑定候选哈希、状态回执和适用限制

发布前先列出所有 Java long 到 Native 对象的入口，标明创建者、关闭者、线程、允许状态和错误终态。每个入口都必须通过同一个句柄表解析，不允许某些 JNI 方法绕过 generation 直接转换地址。代码审查要搜索 reinterpret、指针到整数转换和持久化 handle 的路径，但搜索结果只是风险清单，仍需运行回执。

候选发生编译参数、JNI 签名、异常映射、线程模型、库装载或加固边界变化后，应生成新哈希并重跑关键矩阵。Android NDK 常见问题清单有助于排查符号、API level、运行库和依赖装载，不能替代目标 ABI 上的启动、创建、借用、关闭和异常测试。没有项目证据时，应明确写成待验证，而不是填入性能或兼容数字。

站内关于 JNI 文件描述符所有权的文章可继续核对 handle 内部资源的关闭责任；准备评估商业 App 的 SO 加固范围和跨层生命周期时，可通过页面行动按钮进入御盾中央平台提交候选包、JNI 接口表与复用测试序列。提交只启动评估，是否拒绝陈旧句柄仍以同一候选的设备回执为准。

• Java long 只承载不透明 slot 与 generation。
• 所有 JNI 入口在解引用前校验范围、代际、类型和状态。
• borrow 的保护期覆盖实际对象操作，不留下校验后悬空窗口。
• close 阻止新借用，处理活动任务，再递增 generation。
• 异步回调同时核对对象代际、任务代际和页面代际。
• 进程重建不恢复 handle 数值，只用业务参数重新创建。
• 测试强制槽位复用，并证明旧操作不影响新对象。
• 候选变化后以新哈希重跑设备、异常和退出矩阵。