网上关于Object-C Runtime的文章已经不少了,但大部分人一开始是不是也和我看的一样，大概知道是怎么回事，却又不敢确定呢？这就是我写这篇文章的初衷。本文并不会花大篇章节完整而全面的解释Runtime的源码，因为我的前同事网红鱼🐟的这篇Objective-C Runtime已经写的很好了(强行蹭关系)。

提出问题

带着问题去探究，按图索骥，往往是最有效的方式，思考下面一个问题：

不用objc的接口，如何判断一个指针指向的是否是一个合法的Objective-C对象？

内存模型

既然不能用objc的接口，所有的信息就只有一个，那就是传入的参数：指针。若我们能了解Objc的内存布局，然后和这个指针对比，就能判断出这是否是一个合法的Objc对象。读到这里，若你没有基础的Runtime知识，请先阅读文章开头的贴出的博客。下面这张图相信大家都不陌生 :)

对象模型.jpg

对象(instance)指针的ISA指向了类(class)，类的ISA指向了元类(meta class)，元类的ISA指针指向了Root class(meta)这里先不考虑NSProxy。即NSObject的元类。NSObject元类的ISA指针指向自身，从而形成一个闭环。我们可以用这个闭环来判断指针是否合法。

怎么从一个指针取到它的ISA呢，这得从源码下手了。准备好了吗？下面开始探究源码吧，去苹果官方网站下载Runtime源码，我下的是709的。找到objc_object的实现：

objc-private.h
struct objc_object {
private:
    isa_t isa;

public:
...
}

objc-runtime-old.h
struct objc_class : objc_object {
    Class superclass;
    const char *name;
    uint32_t version;
    uint32_t info;
    uint32_t instance_size;
    struct old_ivar_list *ivars;
    struct old_method_list **methodLists;
    Cache cache;
    struct old_protocol_list *protocols;
    // CLS_EXT only
    const uint8_t *ivar_layout;
    struct old_class_ext *ext;
    ...
}

万物皆对象，类也是对象。可以看到，对象是一个结构体，结构体的一开头就是ISA。指针可以强转为二级指针，判断逻辑可以这么写(uintptr是苹果针对64位指针的优化表示，其实是unsigned long类型)：

Dump *dump = [Dump new];
BOOL res = isValidObjcPointer((uintptr_t)dump);
if (res) {
    NSLog(@"The pointer is a valid objc pointer");
} else {
    NSLog(@"The pointer is not a valid objc pointer!");
}

static BOOL isValidObjcPointer(uintptr_t p) {
    uintptr_t class_p = (uintptr_t)*(void * *)p;//把p指针指向的值作为class_p指针地址
    uintptr_t meta_p = (uintptr_t)*(void * *)class_p;//同上
    uintptr_t meta_ns_obj = (uintptr_t)*(void * *)meta_p;//同上
    uintptr_t meta_ns_obj_isa = (uintptr_t)*(void * *)meta_ns_obj;//同上
  
    if (meta_ns_obj == meta_ns_obj_isa) {
        return YES;
    } else {
        return NO;
    }
}

连上手机跑一下:

bad_access.jpg

BAD_ACCESS，说明这块内存区域被禁止访问。说明上面取ISA的逻辑出了些问题。源码里面ISA是一个isa_t的类型，点进去看一下。

objc-private.h
union isa_t 
{
    isa_t() { }
    isa_t(uintptr_t value) : bits(value) { }

    Class cls;
    uintptr_t bits;
    ...
}

initIsa_no_mark.jpg

objc_object的初始化方法里面除了cls外还有两个参数nonpointer和hasCxxDtor，关于hasCxxDtor这里不做过多解释，具体可以看sunnyxx的这篇博客。我们发现，根据标志位nonpointer的值，ISA的赋值方式是不同的。根据nonpoint的命名，我们能猜测出这个字段为NO代表ISA的cls字段就是指向类(或者元类)的指针，若为YES则有另外的逻辑。

NONPOINTER_ISA

这个文件列出了Xcode的编译选项，我们看到最下面有一个OBJC_DISABLE_NONPOINTER_ISA。从名字即可推测出OBJC_DISABLE_NONPOINTER_ISA这个编译选项决定ISA是否是纯指针表示。我们在Xcode里面尝试把这个编译选项设置为YES(即nonpoint == NO)；

编译选项.jpg

再跑一次代码：

disable_nonpoint.jpg

看下lldb里面的结果，果然一切如预期。那么在OBJC_DISABLE_NONPOINTER_ISA为NO(即nonpoint == YES)的情况下我们该怎么办呢，从第一次的结果可知在arm64(本人手机为arm64架构)环境下这个选项默认为YES。

继续看源码

initIsa.jpg

ISA_MASK宏.jpg

在OBJC_DISABLE_NONPOINTER_ISA为NO时，会先判断SUPPORT_INDEXED_ISA和SUPPORT_PACKED_ISA。SUPPORT_INDEXED_ISA为YES时，isa用一个indexcls字段来存classArrayIndex()中的引用，这里猜测classArrayIndex能从某个全局的数组中拿到这个类的指针，代码里面暂时没有想到方法取到这个全局的数组，所以本篇文章不做讨论，有读者明白的话可以和我讨论。

我们这里只研究SUPPORT_PACKED_ISA为YES的情况，这种情况下64位的ISA指针存了很多信息，有nonpointer、has_assoc、 has_cxx_dtor、 weakly_referenced、 shiftcls等，这是apple的一种优化，用一个指针存储了更多的信息，具体的字段介绍可以看这篇这篇文章；下面是各个字段含义的表格：

看图中红圈标出来的，我们可以用ISA_MASK取出原始的class指针(在arm64架构下和x86下布局不同，ISA_MASK也不同)。用代码 验证下:

nonpoint.jpg

bingo！ 正确运行！

Tagged Pointer

其实文章到这里本该结束了，但是好奇心害死猫，runtime有一个API叫做object_getClass根据一个指针返回这个指针所属的类。这个API不出意外也是根据ISA去查找实现的，我们看看他的源码：

Class object_getClass(id obj)
{
    if (obj) return obj->getIsa();
    else return Nil;
}

inline Class 
objc_object::getIsa() 
{
    if (!isTaggedPointer()) return ISA();

    uintptr_t ptr = (uintptr_t)this;
    if (isExtTaggedPointer()) {
        uintptr_t slot = 
            (ptr >> _OBJC_TAG_EXT_SLOT_SHIFT) & _OBJC_TAG_EXT_SLOT_MASK;
        return objc_tag_ext_classes[slot];
    } else {
        uintptr_t slot = 
            (ptr >> _OBJC_TAG_SLOT_SHIFT) & _OBJC_TAG_SLOT_MASK;
        return objc_tag_classes[slot];
    }
}

inline bool 
objc_object::isTaggedPointer() 
{
    return _objc_isTaggedPointer(this);
}

原来还有一个TaggedPointer的字段,在isTaggedPoint的情况下，对象模型有所不同。关于TaggedPointer可以看这篇博客。Tagged Pointer是苹果的一项优化技术，由于64的指针很长，这么大的地址空间完全是浪费的。也就是说64位环境下，内存地址的中有很多位都是0。指针地址仅仅作为内存的地址是比较浪费的，我们可以在指针地址中保存或附加更多的信息。这就引入了Tagged Pointer概念（其实和NONPOINTER_ISA理念都是相同的，往64位的指针中存放更多信息，节省空间，存取速度也会提高）。Tagged Pointer是指那些指针中包含特殊属性或信息的指针。其中指针对齐概念可以让我们来标识一个指针是否是Tagged Pointer以及相关类型。iOS 7的64位环境和Mac OS 10.7（Lion）中开始引入了Tagged Pointer。

Tagged Pointer比较适用于那些可以用指针地址的值的线性增长来表示的对象。一个比较典型的应用就是NSNumber，在64位环境下，对于一般的数字，NSNumber不再为其在堆上分配内存，直接用指针就能表示。以我真机上的测试的数据来看NSNumber类型的指针前4bit为1011即0xb最后4位为0010即0x2。中间的数值即为NSNumber的值.。比如NSNumber *number3 = @3;，，number3的指针值即为0xb000000000000032。以此类推。
可以通过编译选项OBJC_DISABLE_TAGGED_POINTERS手动关闭Tagged Pointer优化。

一些坑

1. objc4源码不同版本的差异，其实objc4709中initIsa的实现是这样的:

inline void 
objc_object::initIsa(Class cls)
{
   assert(!isTaggedPointer()); 
   isa = (uintptr_t)cls; 
}

完全看不出对nonpoint的判断逻辑，我上面initIsa的源码是在github上找到的。

2. iOS&macOS真正的实现和源码里面是有差异的，源码只能作为一份参考，很多时候全靠猜 :)
   （可怜的程序猿

Reference

http://www.jianshu.com/p/b5955a3811d7

http://blog.xcodev.com/2013/10/21/2013-10-21-tagged-pointer-and-64-bit/

http://yulingtianxia.com/blog/2014/11/05/objective-c-runtime/

http://blog.sunnyxx.com/2014/04/02/objc_dig_arc_dealloc/