OP-TEE项目中REE文件系统操作导致预取异常的分析与修复

问题背景

在OP-TEE项目的REE文件系统实现中，发现了一个可能导致系统崩溃的严重问题。当多个可信应用(TA)或单个TA在特定序列下执行文件系统操作时，会出现目录句柄(ree_fs_dirh)引用计数管理不当的情况，最终导致内核空间出现预取异常(prefetch-abort)。

问题现象

系统日志中会出现如下错误信息：

E/TC:0 0 Core prefetch-abort at address 0x22e02210 (read permission fault)

问题根源分析

该问题的核心在于REE文件系统对目录句柄(ree_fs_dirh)的生命周期管理存在缺陷。具体表现为：

1. 当TA1调用TEE_StartPersistentObjectEnumerator时，会创建ree_fs_dirh并将引用计数(refcount)设为1
2. 当TA2尝试打开一个不存在的文件时：
   • 系统会获取已存在的ree_fs_dirh，引用计数增加到2
   • 由于文件不存在，操作返回TEE_ERROR_ITEM_NOT_FOUND
   • 系统直接关闭并释放dirh（因为close标志为true）
3. 当TA1随后调用TEE_GetNextPersistentObject时：
   • 内核空间直接使用已被释放的dirh
   • 导致预取异常

技术细节

问题主要出现在以下几个关键函数中：

1. get_dirh函数：在获取目录句柄时没有充分考虑并发场景下的安全性
2. 文件打开操作：在返回错误时无条件关闭目录句柄，没有考虑其他使用者可能正在使用该句柄
3. 枚举操作：后续使用目录句柄时没有检查其有效性

解决方案

开发团队通过以下方式修复了该问题：

1. 修改目录句柄管理逻辑，确保在错误路径上不会错误释放仍在使用中的句柄
2. 增强引用计数管理机制，确保只有在真正没有使用者时才释放资源
3. 添加必要的有效性检查，防止使用已释放的资源

验证方法

该问题可以通过修改xtest测试用例来复现，具体方法是在文件枚举测试中插入一个尝试打开不存在文件的操作。修复后的代码已通过该测试用例验证。

经验总结

这个案例提醒我们，在实现资源共享机制时需要注意：

1. 引用计数管理必须考虑所有可能的执行路径
2. 错误处理路径需要特别小心资源释放逻辑
3. 多TA环境下的并发访问需要额外关注
4. 内核空间使用用户空间提供的资源指针前必须验证其有效性

该问题的修复体现了OP-TEE项目对系统稳定性的高度重视，也展示了开源社区快速响应和解决问题的能力。