# 07 用户态、系统调用与进程

## 目标

让 Tianole 从只运行 kernel 代码，进入可运行用户程序的阶段。

## 前置条件

- 虚拟内存可用。
- VFS 可读取 ELF 文件或 init 程序。
- 异常和 syscall 入口可用。

## 建议边界

- `kernel/syscall/`：系统调用入口和分发。
- `kernel/process/`：进程、线程、地址空间。
- `kernel/elf/`：用户 ELF 加载。
- `arch/x86/`：ring 3 切换和 syscall 指令支持。

## 实现内容

- 建立用户地址空间。
- 建立 syscall ABI。
- 建立用户指针检查。
- 加载用户 ELF。
- 支持进程退出和等待。
- 早期可先实现 `spawn/exit/wait`，再演进到 `fork/exec`。
- 为 POSIX syscall、`fcntl/stat/chmod`、signal、pipe、socket、eventfd、futex、共享内存、poll/select 和 IPC 预留 ABI 边界。
- 为 uid/gid、用户/组、文件权限、进程权限、capability 或等价隔离模型预留进程凭据结构。

### 1. User address space

- 每个进程需要独立地址空间，内核映射和用户映射边界清楚。
- 用户页权限必须区分 user/supervisor、read/write、execute。
- 进程退出时必须释放用户页、页表页、VFS 引用和其他资源。
- 后续 `fork`、COW、`mmap` 和 shared memory 要能接入同一地址空间模型。

### 2. Syscall ABI

- 定义 syscall number、参数寄存器、返回值、错误码和 clobber 规则。
- syscall 表要稳定记录，不能由 demo 程序和 kernel 临时约定。
- syscall handler 必须复制和检查用户指针，不能直接解引用用户地址。
- syscall 返回边界要能和调度、signal、进程退出共享。

### 3. Process/thread model

- 区分进程、线程、地址空间、内核调度线程和打开文件表。
- 早期可以一个进程一个线程，但结构不能排斥多线程。
- 建立 pid、父子关系、退出码、wait 状态和 zombie 回收。
- 后续 `fork/exec/wait`、线程、signal 和 job control 要有可扩展空间。

### 4. ELF loader

- ELF loader 只负责校验和映射 ELF，不负责文件系统路径策略。
- 检查 ELF header、program header、segment 权限、对齐、入口地址和用户地址范围。
- 加载器要建立用户栈、argc/argv/envp 或最小等价启动约定。
- 非法 ELF 必须返回错误，不能 panic。

### 5. Fault and signal boundary

- 用户态 page fault、invalid opcode、general protection 等异常应终止当前进程或转成后续 signal。
- kernel fault 和 user fault 策略必须分开。
- 预留 signal、kill、wait status 和 core dump/debug 信息。
- 用户态崩溃不能破坏内核调度器、VFS 或其他进程。

## Linux 参考原则

- 参考 Linux task/mm/files 分离：调度实体、地址空间和文件表不是同一个对象。
- 参考 Linux syscall ABI：syscall number 和参数规则稳定，libc 可以独立绑定。
- 参考 Linux ELF loader：VFS 提供文件，loader 校验 program header 并建立用户映射。
- 参考 Linux user access helpers：所有用户指针都要复制/检查，不能直接信任。
- 参考 Linux wait/exit/zombie 模型：进程退出和资源释放分阶段完成。

## 非玩具化约束

- syscall 表要稳定记录。
- 用户指针不能直接信任。
- 进程、线程、地址空间结构不要混成一个对象。
- 用户态崩溃不能直接拖垮 kernel。
- syscall 不能只按当前 demo 程序硬编码。
- 进程资源释放必须有明确所有权和引用计数规则。
- `fork/exec/wait`、signal、pipe、poll/select 是运行复杂 Unix 程序的关键路径，不能被路线遗漏。
- 用户态入口和 syscall 返回必须经过明确的 arch 边界。
- ELF loader 不能把文件系统、权限和地址空间策略混在一个函数里。
- 用户栈布局要文档化，不能靠某个 demo 程序猜测。
- errno/错误码语义要能被 libc 映射。
- 进程退出不能泄漏页表、VFS file、cwd、argv/envp 或 wait 状态。

## 验收方式

- 最小用户程序可以输出并退出。
- kernel 能回收用户进程资源。
- 非法用户访问能进入异常处理并终止进程。
- syscall ABI 文档化，后续可以被 libc 绑定。
- 非法 syscall number 返回明确错误。
- 用户指针越界不会导致 kernel panic。
- ELF 错误输入有测试，返回加载失败。
- 父进程能 wait 到子进程退出码。
- 用户态进程反复启动和退出后，内存和 file 引用不会持续增长。

## 当前状态

未开始。

进入本阶段前，`03-memory.md` 需要支持用户地址空间基础，`06-storage-vfs.md` 需要能读取 ELF 或 init 程序。

## 后续扩展

- `fork/exec/wait`。
- signal。
- pipe。
- shared memory。
- futex。
- poll/select。
- uid/gid、权限和 capability。
- 动态链接。
- ptrace 或基础调试接口。