本章主题：

● 什么是函数栈帧?
● 理解函数栈帧能解决什么问题?
● 函数栈帧的创建和销毁解析

---

正文开始

1. 什么是函数栈帧

我们在写C语言代码的时候，经常会把一个独立的功能抽象为 函数 。

所以C程序是以函数为基本单位的。

那函数是如何调用的？函数的返回值又是如何传递的？函数参数是如何传递的？

这些问题都和函数栈帧有关系。

函数栈帧(stack frame)：就是函数调用过程中在程序的调用栈(call stack)所开辟的空间，这些空间是用来存放：

● 函数参数和函数返回值
● 临时变量（包括函数的非静态的局部变量以及编译器自动生产的其他临时变量）
● 保存上下文信息（包括在函数调用前后需要保持不变的寄存器）。

2. 理解函数栈帧能解决什么问题呢？

理解函数栈帧有什么用呢?

只要理解了函数栈帧的创建和销毁，以下问题就能够很好的理解了：

● 局部变量是如何创建的？
● 为什么局部变量不初始化内容是随机的？
● 函数调用时参数时如何传递的？
● 传参的顺序是怎样的？
● 函数的形参和实参分别是怎样实例化的？
● 函数的返回值是如何带会的？

让我们一起走进函数栈帧的创建和销毁的过程中。

3. 函数栈帧的创建和销毁解析

3.1 什么是栈?

栈(stack)：是现代计算机程序里最为重要的概念之一，几乎每一个程序都使用了栈，没有栈就没有函数，没有局部变量，也没有我们如今看到的所有的计算机语言。

在经典的计算机科学中，栈被定义为一种特殊的容器，用户可以将数据压入栈中（入栈，push)，也可以将已经压入栈中的数据弹出（出栈，pop)，但是栈这个容器必须遵守一条规则：先入栈的数据后出栈(First ln Last Out，FIFO)。

就像叠成一叠的书，先叠上去的书在最下面，因此要最后才能取出。

在计算机系统中，栈则是一个具有以上属性的动态内存区域。程序可以将数据压入栈中，也可以将数据从栈顶弹出。压栈操作使得栈增大，而弹出操作使得栈减小。

在经典的操作系统中，栈总是向下增长（由高地址向低地址）的。

在我们常见的i386或者x86-64下，栈顶由称为 esp 的寄存器进行定位的。

3.2 认识相关寄存器和汇编指令

相关寄存器

相关汇编指令

3.3 解析函数栈帧的创建和销毁

3.3.1 预备知识

首先我们达成一些预备知识才能有效的帮助我们理解，函数栈帧的创建和销毁。

1. 每一次函数调用，都要为本次函数调用开辟空间，就是函数栈帧的空间。

2. 这块空间的维护是使用了2个寄存器：esp和ebp。

——ebp记录的是栈底的地址，esp记录的是栈顶的地址。

如图所示：

栈帧的内存空间默认是从高地址向低地址使用的。

栈区的使用习惯是从高地址到低地址。

调用main函数，esp,ebp就维护main函数的函数栈帧，调用Add函数，esp,ebp就去维护Add函数的函数栈帧——调用哪个函数，esp,ebp就去维护哪个函数的函数栈帧。

所以这两个函数的函数栈帧，维护在main函数之下（更高地址处）。

3. 函数栈帧的创建和销毁过程，在不同的编译器上实现的方法大同小异，本次演示以VS2019为例。

3.3.2 函数的调用堆栈

演示代码：

这段代码，如果我们在VS2019编译器上调试，调试进入Add函数后，我们就可以观察到函数的调用堆栈（右击勾选【显示外部代码】），如下图：

函数调用堆栈是反馈函数调用逻辑的，那我们可以清晰的观察到， main 函数调用之前，是由invoke_main 函数来调用main函数。

在 invoke_main 函数之前的函数调用我们就暂时不考虑了。

那我们可以确定，invoke_main函数应该会有自己的栈帧，main函数和Add函数也会维护自己的栈帧，每个函数栈帧都有自己的ebp和esp来维护栈帧空间。

那接下来我们从main函数的栈帧创建开始讲解：

3.3.4 准备环境

为了让我们研究函数栈帧的过程足够清晰，不要太多干扰，我们可以关闭下面的选项，让汇编代码中排除一些编译器附加的代码：

今天讲解的时候，模糊图使用的环境是VS2013，不要使用太高级的编译器，越高级的编译器，越不容易学习和观察。（清晰图使用的环境是VS2019）

同时在不同的编译器下，函数调用过程中栈帧的创建是略有差异的，具体细节取决于编译器的实现。

VC 6.0对函数栈帧的创建和销毁的过程足够简单，更好观察。

3.3.5 转到反汇编

调试到main函数开始执行的第一行，右击鼠标转到反汇编。（要先按F10进入调试环境）

注：VS编译器每次调试都会为程序重新分配内存，课件中的反汇编代码是一次调试代码过程中数据，每次调试略有差异。

以上就是C语言对应的汇编代码。

3.3.6 函数栈帧的创建

这里我看到main函数转化来的汇编代码如上所示。

接下来我们就一行行拆解汇编代码。

（1）VS2019内的观察（课件）

① 创建main函数栈帧

上面的这段代码最后4句，等价于下面的伪代码：

② main函数内的操作

接下来我们再分析main函数中的核心代码：

Add函数的传参：

函数调用的过程：

call 指令是要执行函数调用逻辑的，在执行call指令之前先会把call指令的下一条指令的地址进行压栈操作，这个操作是为了解决当函数调用结束后要回到call指令的下一条指令的地方，继续往后执行。

当我们跳转到Add函数，就要开始观察Add函数的反汇编代码了。

代码执行到Add函数的时候，就要开始创建Add函数的栈帧空间了。
在Add函数中创建栈帧的方法和在main函数中是相似的，在栈帧空间的大小上略有差异而已。

1. 将main函数的ebp压栈
2. 计算新的ebp和esp
3. 将ebx，esi，edi寄存器的值保存
4. 计算求和，在计算求和的时候，我们是通过ebp中的地址进行偏移访问到了函数调用前压栈进去的参数，这就是形参访问。
5. 将求出的和放在eax寄存器尊准备带回

图片中的'a'和'b'其实就是Add函数的形参x,y。这里的分析很好的说明了函数的传参过程，以及函数在进行值传递调用的时候，形参其实是实参的一份拷贝。对形参的修改不会影响实参。

（2）VS2013内的观察（录播课）

来看一下VS2013的汇编代码的执行流程：

① push, ebp——压栈

压栈：给栈里面放入一个元素。

|

esp的特性：压栈之后，esp自动向低地址移动，指向新的栈顶地址。

监视验证：

地址值a8→a4，向低地址移动4字节。（扩展寄存器的位宽是4字节）

内存窗口观察是否把ebp压进去了——倒着存放ebp的值。（函数调用，保护现场）

② mov ebp，esp——赋值

用esp给ebp赋值，让ebp指向新函数的栈帧栈底（原函数的栈帧栈顶）。

③ sub esp，0E4h——减法

用esp减0E4h，esp向低地址移动，与ebp之间开辟出0E4h字节的函数栈帧空间。

（h是十六进制后缀）

④ push ebp；push esi；push edi——三次压栈

（esp自动向低地址递减，每次4字节——扩展寄存器的位宽，在内存窗口就是一次一行4字节）

⑤ lea edi, [ebp+FFFFFF1Ch]——加载有效地址

（load effective address）

勾选显示符号名，发现是lea edi, [ebp-0E4h]。

⑥ mov ecx,39h；mov eax,0CCCCCCCCh；rep stos dword ptr es:[edi]——栈空间初始化

rep重复前缀；stos存储字符串；dword ptr双字指针；重复ecx次，存储eax。

总的来说就是：从es:[edi]开始的39h个双字空间初始化为0CCCC CCCCh。

从未3次入栈的esp，到ebp之间全部被初始化为0CCCC CCCCh。

完成了main函数栈帧的开辟，接下来开始执行main函数内正式有效的代码语句。

dword ptr双字指针，双字就是4字节，一个整型的大小。

|

⑥ mov dword ptr [ebp-8]，0Ah

0Ah：十六进制的10

可以想象，如果只定义int a;不初识化，则那块空间默认值就是CC CC CC CC。

⑦ mov dword ptr [ebp-14h]，14h

14h：十六进制的20

⑧ mov dword ptr [ebp-20h]，0

总的来说——局部变量的创建方式：

首先创建好函数栈帧→栈帧空间初始化→从高地址到低地址创建局部变量，并初始化。

⑨ c = Add(a,b)

（这个小标题用的是C语言代码，其余都是汇编代码）

给eax赋值b，然后把eax压栈，给ecx赋值a，然后把ecx压栈。（传参的过程）

call函数调用操作。

注意：在main函数中，call指令本身的地址00C2144B，call指令的下一条指令的地址00C21450。

中间有一个中断调用的过程。

按F11进入函数调用。跳转到jmp指令。

call要到的地址是00C210E1。恰好是这条jmp指令的地址。

同时观察到压栈了一个双字数据——00C21450。

恰好是main函数中Call指令的下一条指令的地址。（保护现场）

为了调用完Add函数(call指令)，能够返回main函数继续执行后续指令(add,mov...)。

再按F11，进入Add函数内的指令区域。

⑩ 建立Add的函数栈帧

|

从这里就可以看到给不同的函数开辟的函数栈帧空间是不同的，是由编译器自行分配适当的函数栈帧空间。

参考一下：

⑪ 执行计算任务

在main函数内调用Add函数时，在call指令之前，就利用右下角这4条指令传参传好了。

在Add函数内不需要创建x、y变量了。——形参的内存空间并不在被调函数的栈帧空间内。

而且这里的4条指令，是先压栈b，再压栈a。表明参数是从右向左传的。

这同时也说明了：形参是实参的一份临时拷贝，改变形参不影响实参。

⑫ retuen z——将计算结果返回给主调函数

mov eax , dword ptr [ebp-8]——把z赋值给eax寄存器。

函数调用结束，局部变量z全部销毁，返回的时候，结果是怎么带回去的——那就是通过寄存器带回主调函数。

函数调用内部局部变量的创建是在栈区上(调用完销毁)，静态局部变量的创建是在全局区(静态区)上，函数调用完毕之后不销毁。

⑬ pop edi；pop esi；pop ebx——恢复现场

|

出栈：弹出一次，esp自动递增4。

参考一下：

⑭ mov esp,ebp——栈顶回退到原main函数的栈顶

（pop完才真正回到）

函数调用结束，结果也给到了eax寄存器带回给主调函数，这一块函数栈帧内存就不需要了。

这一句汇编指令就搞定了这一块函数栈帧内存空间的回收。

⑮ pop ebp——栈底回退到原main函数的栈底

因为在Add函数调用完毕，销毁栈帧后，main函数的栈顶好找，但是栈底不好找，于是事先存储好，调用完其他函数再弹出。

⑯ ret——返回指令，在函数调用结束时使用

ret指令：从栈顶弹出call指令的下一条指令的地址。

按F11执行ret指令，恰好来到call指令的下一行。

⑰ add esp,8

esp跳过两个形参的内存空间，重新指向main函数的栈顶。

此时把形参x，y的内存空间也还给操作系统了(释放)。

说明形参的空间在函数调用完返回后，下一条指令销毁。

前面已经知道形参的空间在函数调用前的几条指令创建。

⑱ mov dword ptr [ebp-20h],eax

把计算结果赋值给c

---

广闻博识——以“烫烫烫……”为代表的乱码分析

① "烫烫烫……"

之所以上面的程序输出"烫"这么一个奇怪的字，是因为main函数调用时，在栈区开辟的空间的其中每一个字节都被初始化为0xCC，而arr数组是一个未初始化的数组，恰好在这块空间上创建的，0xCCCC（两个连续排列的0xCC）的汉字编码就是"烫"，所以0xCCCC被当作文本就是"烫"。

在VS的debug模式下，未初始化的栈内存会被填充为0xCC，即11001100，在GBK编码下，两个0xCC就对应"烫"字：

当我们尝试输出一个未初始化的字符数组时，就会输出"烫烫烫……"

② "屯屯屯……"

这时候如果我们把刚才的栈内存变成堆内存，输出的就是"屯屯屯……"

在VS的debug模式下，未初始化的栈内存会被填充为0xCD，即11001101，在GBK编码下，两个0xCD就对应"屯"字：

③ "锟斤拷……"

当以UTF-8编码格式打开文本文件时，如果正确编码是GBK，则会显示如下这种字符：

这种字符是"Replacement Character"，当字体中没有相应的字符时，就会用该字符替换显示。当保存时，文件内容发生了变化，每一个'Replacement Character”字符都会被存储为EF BF BD。文
件内容变成了EF BF BD EF BF BD ……

则有：

1. EF BF 是字符"锟"的GBK编码；

2. BD EF 是字符“斤"的GBK编码；

3. BF BD是字符“拷"的GBK编码。

于是，当再次使用GBK编码格式打开该文件，就出现了"锟斤拷"。

④ 乱码总结

---

3.3.7 函数栈帧的销毁

当函数调用要结束返回的时候，前面创建的函数栈帧也开始销毁。

那具体是怎么销毁的呢？我们看一下反汇编代码。

回到了call指令的下一条指令的地方：

但调用完Add函数，回到main函数的时候，继续往下执行，可以看到：

4 问题回答

① 局部变量是如何创建的：首先为函数分配好栈帧空间，栈帧空间内初始化好一部分空间后，然后给局部变量在栈帧里面分配一点空间。

——一般不能返回局部变量的地址（指针），函数返回后那块空间就已经销毁。

（注意静态局部变量的创建是在编译时，在静态区）

② 为什么局部变量不初始化内容是随机的：因为随机值是栈帧空间开辟好之后，初始化放进去的。当局部变量定义时有初始化，就会把随机值给覆盖了。

③ 函数是怎么传参的：当需要调用某个函数的时候，在还没调用它的时候，就将参数列表的参数从右向左压栈，当真正进入被调函数后，通过栈底指针的偏移量找到形参。

（可以说形参实际上存在与main函数的拓展栈帧内，因为它们的空间是在main函数内的指令控制下创建的，在函数返回后main函数由拓展栈帧缩减到普通栈帧就完成了形参的释放）

④ 形参和实参的关系：形参是函数调用前，压栈开辟的一块空间，形参和实参在值上是相同的，空间是独立的。所以，形参是实参的一份临时拷贝，改变形参不会影响实参。

⑤ 函数的返回值是如何带回的：在函数调用前，压栈call指令的下一条指令的地址，压栈主调函数的ebp。当函数调用结束，要返回的时候，弹出ebp就可以找到主调函数ebp，返回的时候出栈call指令的下一条地址，就能回到原指令队列继续执行主调函数的下一条指令。返回值通过寄存器的方式带回。

5. 总结

call的其实是jmp指令的地址，jmp的才是函数的地址。

函数名就是函数的地址，也就是函数内部第一条机器指令（汇编指令）的地址。

而ebp维护的是函数栈帧的内存栈底地址，不是函数的地址。

拓展了解：

其实返回对象是内置类型时，一般都是通过寄存器来带回返回值的，返回对象如果时较大的对象时，一般会在主调函数的栈帧中开辟一块空间，然后把这块空间的地址，隐式传递给被调函数，在被调函数中通过地址找到主调函数中预留的空间，将返回值直接保存到主调函数的。具体可以参考《程序员的自我修养》一书的第10章。

到这里我们给大家完整的演示了main函数栈帧的创建，Add函数站真的额创建和销毁的过程，相信大家已经能够基本理解函数的调用过程，函数传参的方式，也能够回答开始处的问题了。

---

完