JPEG起始标记为0xFFD8（SOI），结束标记为0xFFD9（EOI）；需流式滑动缓冲区扫描并处理跨块边界，结合libjpeg增量解码验证合法性，避免仅靠字节匹配误判。
如何定位JPEG起始与结束标记而不全量读取文件
大型二进制文件（如固件镜像、内存转储或封装容器）中嵌入JPEG，通常不带长度头、无对齐、甚至被截断。盲目 fread 整个文件到内存会触发OOM 或严重拖慢响应——1GB 文件加载进内存再扫描，纯属浪费。
必须流式扫描：用 fseek + 小缓冲区（如 64KB）滑动读取，每次只比对缓冲区边界附近的字节序列。关键不是“找0xFFD8”，而是处理跨块边界的情况：起始标记可能落在前一块末尾+后一块开头。
- 每次读取前预留 2 字节重叠（即上一次读的最后 2 字节 + 新读的
buffer_size - 2字节） - 扫描时检查所有位置是否满足
buffer[i] == 0xFF && buffer[i+1] == 0xD8，且i+1 < len - 发现
0xFFD8后，不能立刻认定是JPEG起点——需结合上下文：前面是否为合法填充（如 0x00）、是否在已知数据段内（如 ELF 的.data节偏移范围内）
如何安全判定JPEG结束位置（避免误截或溢出）
仅靠匹配 0xFFD9 极不可靠：它可能是SOI之后的任意APPn段、EXIF中的字段值，甚至是图像数据里未转义的原始字节。真实JPEG结构含多个0xFF前缀标记（SOF, SOS, DHT…），其中只有0xFFD9（EOI）是唯一合法结尾，但前提是它出现在**非压缩数据流的末尾**，且前面没有未闭合的段。
推荐组合策略：
立即学习“C++免费学习笔记（深入）”；
- 从
0xFFD8开始，逐字节解析JPEG marker：遇到0xFF后读下一个字节，若为0x00则是转义（跳过）；若为0xD9，暂记为候选 EOI；若为0xDA（SOS），则后续直到下一个0xFF前都是熵编码数据——此处必须启用“扫描模式”：一旦进入SOS段，就以字节流方式查找下一个0xFF，并验证其后是否为0x00（转义）、0xD9（EOI）或其它 marker（说明图像未结束） - 设置硬上限：从 SOI 起最多读取 100MB（可配），防止因损坏导致无限扫描
- 记录每个疑似 EOI 的文件偏移，最终选择**最后一个能通过 JPEG 解码器（如
libjpeg的jpeg_consume_input）返回JPEG_REACHED_EOI的位置**——这是最准的验证
用 libjpeg-turbo 增量解码验证并提取，而非仅靠字节匹配
纯字节扫描只能给你“可能的JPEG区域”，但无法区分伪造标记、损坏图像或嵌入式缩略图（如 EXIF 中的 0xFFE1 APP1 段里的 JPEG）。真正可靠的提取必须走标准解码路径。
libjpeg-turbo 支持源数据回调（jpeg_mem_src / jpeg_fill_buffer），但对超大文件更应使用自定义 src_mgr，让 fill_input_buffer 按需从文件某段读取——这样既不加载全文，又能让解码器自己判断格式合法性。
- 初始化
jpeg_decompress_struct后，替换cinfo.src为自定义结构，其中next_input_byte指向当前待解码的内存块，bytes_in_buffer设为该块长度 - 当解码器调用
fill_input_buffer且bytes_in_buffer == 0时，才从文件中读下一段（注意：需提前预读至少 2KB，避免频繁 syscall） - 若
jpeg_read_header返回JPEG_SUSPENDED，说明数据不足，继续喂；若返回JPEG_HEADER_OK再调jpeg_start_decompress，最终看jpeg_finish_decompress是否成功——只有全程无错才算有效JPEG
绕过 mmap 的陷阱：为什么直接 mmap 大文件提取 JPEG 反而更慢
有人尝试 mmap 整个文件后用 memmem 扫描 0xFFD8，逻辑看似高效，实际在真实场景中常更慢甚至失败：
- Linux 对 >128MB 的 mmap 区域默认启用 lazy allocation，首次访问页时才分配物理内存——表面没占 RAM，但扫描过程会触发大量 page fault，CPU 在缺页中断里忙得没空干活
- SSD/NVMe 随机读性能远低于顺序读，而
memmem是纯随机访存模式；相比之下，64KB 缓冲区顺序read()能被内核预读（readahead）优化 - 32 位进程 mmap 超过 2GB 会失败；64 位虽无此限，但
mmap占用的是虚拟地址空间，频繁映射/解除映射易碎片化，影响后续大内存分配 - 更隐蔽的问题：某些固件镜像含加密校验段，
mmap后若未按协议跳过这些区域，解码器可能把校验值误认为 JPEG 数据，报Invalid JPEG file structure
真正省资源的做法是：用 open(O_RDONLY) + 小缓冲区 + 精确偏移跳转，把磁盘 IO 控制在最低粒度——毕竟你只关心几KB到几MB的有效图像，不是整个镜像。
