Hermes引擎中处理arguments.length赋值为undefined的崩溃问题分析

背景介绍

Hermes是Facebook开发的一个针对React Native优化的JavaScript引擎，专注于提升移动端应用的启动性能。在最新版本的Hermes引擎中，开发者发现了一个与arguments对象处理相关的崩溃问题。

问题现象

当在函数内部将arguments.length属性赋值为undefined，并随后尝试访问这个length属性时，Hermes引擎会在调试模式下触发断言失败，导致程序崩溃。崩溃发生在HermesValue.h文件的364行，具体断言是isDouble()失败。

问题复现

可以通过以下简单的JavaScript代码复现该问题：

function foo() {
  var a1 = [];
  a1 = arguments;
  a1.length = undefined;
  for (var i = 0; i <= arguments.length; i++) {
    print(i)
  }
}
foo();

技术分析

HermesValue类型系统

在Hermes引擎中，HermesValue是一个联合类型，用于表示JavaScript中的所有可能值。它使用标签位来区分不同类型的值，包括数字、字符串、对象等。当尝试将一个值作为特定类型访问时，引擎会先检查类型标签是否匹配。

arguments对象特殊性

arguments对象在JavaScript中是一个特殊的类数组对象，它包含了传递给函数的所有参数。length属性通常应该是一个数字值，表示传入参数的个数。

问题根源

当代码将arguments.length显式设置为undefined时，违反了引擎内部对arguments.length必须为数字类型的假设。在后续访问这个属性时，引擎尝试将其作为double类型处理，但实际存储的是undefined值，导致类型断言失败。

解决方案

Hermes开发团队已经修复了这个问题，修复方案主要包括：

1. 在访问arguments.length时增加类型检查
2. 当length属性被设置为非数字值时，提供合理的默认行为
3. 确保类型转换逻辑能够正确处理undefined值

开发者建议

对于JavaScript开发者，虽然现代引擎会处理这种边缘情况，但从代码健壮性考虑，仍建议：

1. 避免修改arguments对象的固有属性
2. 如果需要操作arguments，考虑先将其转换为真正的数组
3. 对可能为undefined的值进行显式检查

总结

这个bug揭示了JavaScript引擎在实现语言特性时面临的挑战，特别是在处理动态类型和特殊对象时。Hermes团队通过增强类型检查和错误处理机制，确保了引擎在遇到非预期输入时的稳定性。这也提醒我们，在使用JavaScript的动态特性时，应当注意潜在的边界情况。