内存保护怎么实现：权限位、用户态与内核态、进程隔离

如果所有程序都能读写任意内存，任何一个数组越界、野指针或恶意操作都可能覆盖别的程序的数据，甚至修改操作系统本身。程序之间的隔离就会失去意义，系统也无法保证一个任务出错时其他任务还能继续运行。

内存保护的目标，是让每次访问都同时回答两个问题：这个地址是否属于当前进程的合法范围，这次操作是否拥有足够的权限。地址映射负责把虚拟地址指向某个页面，权限信息则决定页面能否被读取、写入或执行。

页表项通常包含物理页号、存在位和访问权限等信息。存在位表示这个页面是否有有效的物理映射；读写权限决定程序能否修改页面；执行权限决定处理器能否把页面内容当成指令运行。系统通过这些标志把代码、数据和未分配区域区别开。

例如，程序代码通常需要可读和可执行，但不应该被普通运行路径随意写入；数据页面可能允许读写，却不应该被当成指令执行。权限不是对程序意图的猜测，而是处理器在地址转换过程中依据页表项直接进行的检查。

操作系统通常把处理器运行环境区分为用户态和内核态。普通应用在用户态运行，能够访问自己的用户空间；内核在更高权限的内核态运行，负责管理进程、内存、文件和设备。用户程序不能直接把自己切换到内核态，而要通过受控的系统调用请求服务。

这种区分并不是为了让应用无法使用系统能力，而是把高权限操作集中到可检查的入口。应用需要读文件、创建进程或申请更多内存时，先通过系统调用进入内核，由内核检查参数、权限和资源状态，再执行相应动作并返回结果。

默认情况下，每个进程拥有独立的虚拟地址空间。即使两个进程使用同一个虚拟地址数值，页表也可以把它们映射到不同的物理页面，因此一个进程不能直接读到另一个进程的私有数据。进程结束时，系统还可以独立回收它的映射和资源。

如果确实需要共享数据，操作系统可以明确建立共享映射，让多个进程的虚拟页面指向同一片物理内存，并配置可接受的权限。共享不是绕过保护，而是由系统记录和授权的一种特殊关系。共享区域仍然需要同步，否则保护了地址边界，却可能在数据层面出现竞争和不一致。

当进程访问没有映射的地址，或者试图进行不被允许的写入、执行操作时，处理器会产生异常并转交操作系统。系统根据异常类型和地址状态判断这是合法的延迟装入、缺页处理，还是确实越过了访问边界。

如果确认是非法访问，操作系统通常会终止相关进程，并可能留下用于分析的错误信息。这样做不是系统“突然把程序关掉”，而是保护其他进程和内核不被错误访问继续破坏。前面提到的 SIGSEGV，就常用于表示这类严重的无效内存访问。

内存保护不只针对恶意程序，也能限制普通程序中的错误影响范围。一个程序写错了数组边界，可能只会触发自身的访问异常，而不是静默覆盖另一个程序的关键数据。错误越早暴露，定位和恢复通常越容易。

只读代码、不可执行数据和内核空间隔离等规则，还能减少某些常见攻击路径。保护机制不能替代所有安全设计，但它把“任意地址都能访问”的危险状态变成了“每次访问都必须通过映射和权限检查”。

第一种是地址没有合法映射，程序访问后会触发异常；第二种是地址合法但页面暂时不在物理内存，需要缺页处理；第三种是页面存在，但当前操作违反了读写或执行权限。三者都可能表现为程序暂停或异常，却对应完全不同的原因。

观察问题时，可以沿着地址、页表项、页面驻留状态和权限标志逐层判断。不要只看到“访问失败”就把它归结为内存不足，也不要把所有缺页都当成程序错误。把地址合法性、页面状态和操作权限分开，排查路径会清晰很多。

内存保护由地址空间隔离、页表映射、访问权限和用户态内核态边界共同完成。进程默认只能访问自己的合法页面；需要共享时由系统建立明确映射；需要高权限服务时通过系统调用进入内核；一旦违反规则，处理器和操作系统会阻止访问并处理异常。

学习内存保护时，可以依次问：当前进程使用哪个地址空间，页表把地址映射到哪里，页面是否存在，本次操作需要什么权限，以及访问是在用户态还是内核态完成。这样，隔离、共享、缺页和段错误就能放进同一个保护模型中理解。