C++ 怎么在 Linux 内核中使用 copy_to_user 和 copy_from_user 安全复制内核与用户空间数据-C++-PHP中文网

c++oding="utf-8" ?>

Linux内核模块不支持C++特性，必须用C风格编码；copy_to_user和copy_from_user需配合access_ok校验地址、kmalloc分配内存、显式检查返回值，并严格同步用户/内核struct定义以避免对齐问题。

c++ 怎么在 linux 内核中使用 copy_to_user 和 copy_from_user 安全复制内核与用户空间数据

copy_to_user 和 copy_from_user 是内核函数，不是 C++ 标准库或用户态 API

你在 Linux 内核模块里写 C++ 代码本身就不被支持——内核编译环境不链接 libstdc++，禁用异常、RTTI、new/delete（除非你手动重载且确保无页错误），更不提供 std::vector 或 std::string。所有内存操作必须用 kmalloc/kfree，所有用户空间拷贝必须走 copy_to_user 和 copy_from_user 这类内核提供的安全接口。

所以问题本质不是“C++ 怎么用”，而是“在内核模块中（哪怕用 .cpp 后缀）如何正确调用这两个函数”。实际项目中绝大多数人用纯 C 编写模块，.cpp 后缀只是让编译器接受语法，不代表能用 C++ 特性。

调用 copy_from_user 前必须验证用户地址和长度

copy_from_user 不会帮你检查用户传来的指针是否合法——它只做带页错误防护的拷贝，失败时返回未拷贝字节数，但若 user_buf 是空指针、跨页非法地址、或长度溢出进程地址空间上限，内核可能直接 Oops。

必须先用 access_ok(VERIFY_READ, user_buf, size) 判断地址范围是否可读（注意：该宏在新内核已标记为 deprecated，但仍是事实标准；5.0+ 推荐配合 user_access_begin/user_access_end，但仅对极少数场景必要）
长度不能是用户可控的任意值：比如 ioctl 的 arg 是用户传入的结构体，其中某个字段是 size，需做显式裁剪，如 len = min_t(size_t, len, MAX_COPY_SIZE)
目标内核缓冲区（kernel_buf）必须用 kmalloc(..., GFP_KERNEL) 分配，不能是栈变量（栈太小且不可用于可能睡眠的上下文）

示例片段：

Linux Security Scanner

Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...

下载

if (!access_ok(VERIFY_READ, user_buf, len))
    return -EFAULT;
if (len > 4096)
    len = 4096;
kernel_buf = kmalloc(len, GFP_KERNEL);
if (!kernel_buf)
    return -ENOMEM;
if (copy_from_user(kernel_buf, user_buf, len)) {
    kfree(kernel_buf);
    return -EFAULT;
}

copy_to_user 失败时不能忽略返回值

copy_to_user 返回的是“未能拷贝的字节数”，不是 errno。如果返回非零值，说明部分或全部数据没写进用户空间——这通常意味着用户进程已崩溃、内存被 munmap、或目标地址被保护（如只读 mmap 区域）。此时直接返回 -EFAULT 是常规做法，但要注意：

不要用 memset 清零用户空间缓冲区再调用 copy_to_user——这是无效且危险的，用户空间地址不能被内核直接写
如果函数逻辑依赖“全部写入成功”，就别拆成多次调用：它不保证原子性，也不重试；用户态应自己处理 EFAULT 并重试（如有必要）
避免在中断上下文（in_interrupt() == true）中调用；虽然函数本身可睡眠，但中断上下文禁止调度，会导致死锁或警告

典型误用：

// ❌ 错误：以为返回 0 就一定成功，其实要检查是否等于 len
if (copy_to_user(user_buf, kernel_buf, len))
    // 这里没处理部分失败的情况

// ✅ 正确：检查是否完全拷贝
if (copy_to_user(user_buf, kernel_buf, len) != 0) {
    ret = -EFAULT;
    goto out;
}