Object.getPrototypeOf 本质是直接读取对象头中固定偏移处的 prototype 字段，编译为单条内存加载指令（如 mov rax, [rdi + 0x18]），无需函数调用、类型检查或属性查找，仅在 Proxy 等极少数情况退化为慢路径。
Object.getPrototypeOf 实际上并不执行复杂逻辑，而是在 V8 引擎中被编译为一条内存偏移读取指令——本质是直接从对象头（JSObject header）中取出 prototype field 的地址并解引用，整个过程不涉及函数调用、类型检查或属性查找。
对象布局：原型指针就藏在固定偏移处
V8 中大多数 JSObject（如普通对象、数组、函数）采用统一的内存布局。其头部结构（如 JSObject 或更底层的 JSReceiver）中，prototype 字段位于一个已知且固定的字节偏移位置（例如，在 64 位系统中常为 +0x10 或 +0x18，取决于具体子类和压缩指针配置）。这个偏移在编译期就确定，运行时无需计算。
- V8 使用“隐藏类（Hidden Class）”机制保证对象布局稳定，同一隐藏类的所有实例共享相同字段排布
- prototype 字段不是动态属性，而是对象元数据的一部分，始终存在且位置固定
- 即使对象未显式设置 prototype（如
Object.create(null)），该字段仍存在，值为null或undefined
内联汇编视角：一次 mov 指令搞定
当 V8 的 TurboFan 编译器对 Object.getPrototypeOf(obj) 做内联优化后，生成的机器码通常等价于：
其中：
立即学习“C++免费学习笔记（深入）”；
-
rdi是对象的起始地址（即 JSObject* 指针） -
+0x18是 prototype 字段在对象内存中的固定偏移（以字节为单位） -
rax直接得到 prototype 的值（可能是另一个 JSObject*、null 或内置函数指针）
这行指令不触发任何分支判断、GC 检查或访问器调用，纯粹是 CPU 级别的内存加载。
为什么不需要查表或遍历？
JavaScript 中的原型链查询（如 obj.prop）才需要逐级向上查找；但 Object.getPrototypeOf 只读取当前对象自身的 prototype 引用，它不访问原型链，只访问当前对象的一个字段。
- 它不等价于 “获取 obj 的 __proto__”，而是直接读取引擎内部维护的
map()->prototype()或对象头中的prototype_字段 - 即便对象被冻结、密封或设置了不可枚举的
__proto__，只要它是标准 JSObject，该字段依然可直接读取 - 只有极少数特殊情况（如 Proxy、某些内置 exotic object）会退回到慢路径，走 C++ 函数调用，但绝大多数情况都命中上述快速路径
对比：普通属性读取为何更慢？
而 obj.x 需要：
- 通过对象 map 查属性名哈希表或描述符数组
- 判断是否为 accessor、是否需要触发 getter
- 检查属性是否被遮蔽（shadowing）、是否在原型链上
这些步骤无法静态消除，必须在运行时解析。相比之下，Object.getPrototypeOf 的目标字段位置和语义完全静态，天然适合单指令实现。
