检视意见ID: S1-01

[S1-01] registerInfo_ 快照指针跨锁释放后被 Stop 释放，存在 use-after-free/double-free 风险

• 严重程度: S1 严重
• 问题类型: 安全
• 文件: src/adapter_plugins/syssentry/sentry_observer.cpp:223
• 问题简述: 工作线程在锁内取 registerInfo_ 快照后释放锁，跨 so 边界将裸指针传入阻塞的 xalarmGetEventFunc，而 Stop 在同一把锁内调用 UnRegisterXalarm 释放该结构体，快照成为悬垂指针。

详细描述: 本提交将 registerInfo_ 提升为类成员并用 registerMtx_ 保护。SentryEventListen 在锁内取快照 snapshot = registerInfo_ 后释放锁，再将裸指针 snapshot 跨 so 边界传入阻塞调用 xalarmGetEventFunc(msg, snapshot)（line 223）。而 Stop 在同一把锁内调用 UnRegisterXalarm(&registerInfo_)（line 174），后者依 xalarm API 契约（xalarm_unregister_event(struct alarm_register**) 取二级指针，且仓库内 stub test/IT/stubs/xalarm_stub.cpp:229 明确 free(*register_info) 并置空）会释放该结构体。由于快照在锁释放后才被使用，Stop 可在快照仍被工作线程持有时将其指向的结构体释放：

1. 入口解引用竞态：工作线程释放锁（line 216）到 xalarmGetEventFunc 入口读取 register_info->register_fd（stub line 155）之间存在窗口，Stop 恰在此间释放结构体则该次解引用为 heap-use-after-free（asan 可检出）。
2. 阻塞返回路径解引用：若生产 libxalarm 的 xalarm_get_event 在阻塞返回路径再次读取 register_info 字段，则在常见的"工作线程阻塞、Stop 注销"场景下即触发 UAF。

此外，错误路径的重注册（line 230 RegisterSentryEvent(&registerInfo_)）与循环末尾注销（line 255 UnRegisterXalarm(&registerInfo_)）均未持有 registerMtx_，与头文件"由 registerMtx_ 保护"声明不一致，在 Stop 与工作线程错误恢复并发时存在对 registerInfo_ 的 TOCTOU/double-free 竞争。后果为 ubse daemon 崩溃（UAF/double-free），触发路径为本地 Stop（关停/故障切换/配置重载），属"需前置条件触发严重后果"。若能确认生产 libxalarm 的 xalarm_unregister_event 不释放结构体（仅断开），则本条风险解除，但 stub 与 API 签名均指向"释放"，当前无法排除。

// 原始代码（src/adapter_plugins/syssentry/sentry_observer.cpp）
// 工作线程：锁内取快照后释放锁，再用裸指针跨 so 阻塞调用
struct alarm_register* snapshot = nullptr;
{
    std::lock_guard<std::mutex> lock(registerMtx_);
    snapshot = registerInfo_;
}
if (snapshot == nullptr) {
    SafeDelete(msg);
    break;
}
auto ret = xalarmGetEventFunc(msg, snapshot);   // 释放锁后用裸指针跨 so 调用，Stop 可能已释放该结构体
// ...
// Stop：锁内释放结构体后立即 join
void UbseRasObserver::Stop()
{
    stopThread = true;
    // ...
    {
        std::lock_guard<std::mutex> lock(registerMtx_);
        UnRegisterXalarm(&registerInfo_);   // xalarmUnRegisterFunc 会 free(registerInfo_) 并置空
    }
    if (worker && worker->joinable()) {
        worker->join();
        worker.reset();
    }
}

修改方案: 根因是裸指针快照跨越锁的生命周期、且 xalarm_unregister_event 既断开又释放。修复应将"断开以唤醒"与"释放结构体"解耦：Stop 只关闭底层 fd 唤醒阻塞调用，不释放结构体；结构体由工作线程退出时统一释放。同时工作线程在停止态不再重注册，且所有 registerInfo_ 访问纳入 registerMtx_ 保护。

// 修改后代码（Stop：仅断开 fd 唤醒，不释放结构体）
void UbseRasObserver::Stop()
{
    stopThread = true;
    InvalidateSysSentryConfig();
    UnregisterConfigRetryTimer();
    ubse::timer::UbseTimerHandlerUnregister(UBSE_RAS_QUERY_MSG_MONITOR_TIMER_NAME);

    // 仅关闭底层 fd 唤醒阻塞在 xalarmGetEventFunc 的工作线程，不释放 alarm_register，
    // 避免工作线程持有的快照成为悬垂指针；结构体由工作线程退出时统一释放。
    int fdToClose = -1;
    {
        std::lock_guard<std::mutex> lock(registerMtx_);
        if (registerInfo_ != nullptr) {
            fdToClose = registerInfo_->register_fd;
            registerInfo_->register_fd = -1;   // 标记已断开，防止工作线程重用
        }
    }
    if (fdToClose >= 0) {
        close(fdToClose);
    }

    if (worker && worker->joinable()) {
        worker->join();
        worker.reset();
    }
}

// 修改后代码（SentryEventListen：停止态不再重注册，且重注册纳入锁保护）
auto ret = xalarmGetEventFunc(msg, snapshot);
if (ret < 0) {
    UBSE_LOG_WARN << "Failed to get msg. ErrorCode=" << ret;
    const bool disconnected = ret == -ENOTCONN || ret == -EBADF;
    if (disconnected) {
        InvalidateSysSentryConfig();
    }
    if (!stopThread) {   // 停止中不再重注册，避免与 Stop 竞争 registerInfo_
        std::lock_guard<std::mutex> lock(registerMtx_);
        RegisterSentryEvent(&registerInfo_);
    }
    if (disconnected) {
        UBSE_LOG_INFO << "Re-config sentry";
        UbseConfigSysSentryWithRetry();
        ubse::ras::UbseRasHandler::GetInstance().ClearAllMsgId();
    }
    SafeDelete(msg);
    continue;
}
// ...
// 循环末尾注销同样纳入锁保护
{
    std::lock_guard<std::mutex> lock(registerMtx_);
    UnRegisterXalarm(&registerInfo_);
}

备注：close(fd) 仅用于唤醒，可能绕过 libxalarm 内部簿记，建议同步在 libxalarm 侧提供"仅断开不释放"的接口以彻底解耦；若短期内无法改库，上述方案可消除 UAF/double-free。